Bitcoin : 70 M$ de pertes liées à Coldcard après une faille de firmware

Galaxy Research rapporte que 1 196 adresses ont été entièrement vidées, pour un total de 1 082,65 BTC (environ 70,2 millions de dollars), entre 01:10:20 et 01:51:26 UTC le 30 juillet. Selon Galaxy, les flux correspondent à une vulnérabilité affectant Coldcard, sur la base d'un schéma identifié par des ingénieurs de Block et relayé par Clay Garrett. Coinkite avait d'abord alerté les utilisateurs ayant généré des graines (seeds) sur des Coldcard Mk3 avec la version 4.0.1 ou ultérieure, indiquant que les fonds pouvaient être exposés. L'éditeur a ensuite élargi l'avis à certaines versions de firmware des Mk4, Mk5 et de Coldcard Q, et a publié des mises à jour d'urgence. Vendredi, le PDG de Coinkite, Rodolfo Novak (NVK), a présenté ses excuses et déclaré que l'entreprise assumait l'entière responsabilité du bug. Pourquoi c'est important : une faiblesse dans la génération des seeds peut transformer un défaut de firmware au niveau de l'appareil en risque de dépossession directe pour les utilisateurs qui conservent des fonds sur les portefeuilles concernés. Sentiment de marché : baissier, sous tension, piloté par l'actualité, réduction du risque. Motif : Galaxy Research relie plus de 1 000 BTC dérobés à une vulnérabilité Coldcard, un signal que les opérateurs peuvent interpréter comme un risque immédiat sur la conservation en auto-garde. Cas comparable : en 2022, des développeurs Solana ont attribué des vidages de portefeuilles aux wallets mobiles Slope ; près de 8 000 portefeuilles étaient touchés à 05:00 UTC. Slope avait recommandé de créer un nouveau portefeuille avec une nouvelle seed phrase et d'y transférer les actifs. (The Block) Différence majeure : l'affaire Slope concernait des portefeuilles logiciels mobiles, alors qu'ici il s'agit du firmware d'un wallet matériel Coldcard et de seeds Bitcoin. Effets de contagion : la confiance dans la garde peut se dégrader si la génération de seeds est perçue comme peu fiable sur les appareils affectés. En cas de nouvelles ponctions sur les cohortes de seeds concernées, des utilisateurs pourraient déplacer des fonds hors de l'auto-garde vers d'autres solutions de conservation le temps de renouveler leurs portefeuilles. Si les correctifs d'urgence empêchent de nouveaux drains, l'impact pourrait rester circonscrit aux détenteurs de seeds déjà compromises. Opportunités et risques : - Opportunités : si les mises à jour d'urgence de Coinkite et la procédure de création de nouvelles seeds stoppent les drains, une récupération par transferts étagés, après un petit virement test, peut constituer un signal de reprise plus sûre. - Risques : si de nouvelles attaques visent des adresses générées par Coldcard, considérer les anciennes seeds comme compromises permet de réduire l'exposition à de nouvelles pertes de garde.