ZachXBT refuse de remonter la piste du piratage Coldcard à 88,6 M$ faute de soutien

L'enquêteur blockchain ZachXBT affirme qu'il ne compte pas suivre ni retracer le piratage ayant visé Coldcard, évalué à 88,6 millions de dollars. Il explique que, par le passé, la communauté Bitcoin lui a peu rendu en échange de son travail. Points clés : - ZachXBT dit ne pas vouloir enquêter sur l'attaque Coldcard, invoquant le faible soutien des détenteurs de bitcoin. - La compromission de Coldcard, produit de Coinkite, a entraîné la sortie de 1'367 BTC depuis le 30 juillet 2026, au détriment de 4'585 adresses. - Galaxy Research continue de tracer les fonds, tandis que la politique de conservation des e-mails de Coinkite suscite une nouvelle vague de critiques. ZachXBT estime avoir "moins d'obligation" d'aider Connu pour avoir identifié les auteurs de certains des plus grands vols du secteur, ZachXBT a indiqué sur X qu'il n'avait "aucun plan" à ce stade pour surveiller ou retracer l'incident Coldcard. Il dit consacrer son temps aux écosystèmes qui valorisent son travail, ajoutant que les maximalistes Bitcoin ne financent pas ses investigations et ne les soutiennent pas, ce qui réduit selon lui son devoir d'intervenir. Cette prise de position intervient alors que la brèche entrait dans son cinquième jour et que le montant total continuait d'augmenter. ZachXBT a déjà travaillé pro bono sur des dossiers majeurs ; son message suggère un écart marqué entre la bonne volonté que la communauté Bitcoin lui témoigne et l'effort attendu lorsque des incidents surviennent. État des lieux du piratage Coldcard Selon les éléments disponibles, l'attaque provient d'un défaut de firmware affectant des portefeuilles matériels du fabricant canadien Coinkite. La faille toucherait les Coldcard Mk3 équipés des versions 4.0.1 à 4.1.9 : certains appareils auraient généré l'entropie de la seed via un générateur pseudo-aléatoire logiciel plutôt que via la puce dédiée, rendant certaines seeds potentiellement devinables. La première vague a été observée le 30 juillet, avec environ 594 BTC (environ 38 millions de dollars à ce moment-là) siphonnés depuis près de 500 adresses dormantes en moins de 30 minutes. Coinkite a diffusé un firmware corrigé dans les deux jours, sans empêcher la poursuite des pertes. Au 2 août, Galaxy Research chiffrait le total à 1'367 BTC, soit 88,6 millions de dollars, dérobés au travers de 4'585 adresses lors de trois vagues distinctes. La cadence et la précision des retraits ont alimenté l'hypothèse d'outils automatisés, possiblement assistés par IA, capables d'identifier et de vider des adresses vulnérables en quelques minutes à chaque passage. Le montant dérobé a continué d'enfler, alors même que les dépôts vers des plateformes d'échange depuis les fonds volés augmentaient et que des BTC plus anciens, jusque-là inactifs et liés à l'affaire, recommençaient à bouger. La conservation des données ravive la polémique La gestion de l'après-crise par Coinkite fait aussi débat. L'entreprise a contacté par e-mail toutes les adresses clients accessibles via ses registres de boutique et de newsletter, y compris des données remontant à 2019, afin d'alerter sur le bug. Cette démarche contredit des déclarations antérieures du PDG, Rodolfo Novak, selon lesquelles Coinkite effaçait les données clients 90 jours après un achat et proposait des options d'achat anonymes. Coinkite a ensuite reconnu conserver indéfiniment les adresses e-mail d'achat et a admis ne pas disposer de politique de suppression pour ces données, déclenchant une nouvelle vague de critiques indépendante du piratage. Novak a défendu le bilan global de sécurité de l'entreprise, soulignant que des concurrents subissent régulièrement des incidents et assurant que Coinkite traite le sujet avec le plus grand sérieux. L'affaire commence déjà à fragiliser la confiance dans l'auto-conservation (self-custody) et pourrait inciter des investisseurs prudents à privilégier des ETF plutôt que la gestion directe de leurs clés. Le dossier a aussi débordé sur le terrain du spectacle on-chain : une offre de blanchiment de bitcoins, explicitement adressée au pirate, a été publiée directement sur la blockchain Bitcoin, alimentant un feuilleton en temps réel sur les réseaux sociaux et via les données on-chain. Avec le retrait d'acteurs comme ZachXBT, la charge de remonter la piste des 1'367 BTC se reporte davantage sur des structures telles que Galaxy Research, qui publie des mises à jour vague par vague au gré de l'activité des portefeuilles de l'attaquant. Des informations indiquent enfin que le bug d'entropie affectant les Coldcard Mk3 remonterait à un firmware de mars 2021. Cela impliquerait que toute seed générée sur cette version pendant plus de quatre ans pourrait rester exposée tant que les utilisateurs n'ont pas migré vers une nouvelle seed après installation du firmware corrigé.