Bitcoin : 45 % des BTC volés lors de la vague 3 de Coldcard déplacés

L’attaquant lié à la troisième vague de vols visant les hardware wallets Coldcard a déplacé environ 45 % des bitcoins dérobés dans cette séquence, selon Galaxy Research. Au total, 97,09 BTC, soit environ 7,8 millions de dollars, ont déjà quitté les coffres suivis par les chercheurs, via THORChain puis des transactions CoinJoin. À l’échelle de l’ensemble de l’incident Coldcard, environ 82 % des BTC identifiés restent encore sur les adresses contrôlées par les attaquants.

Le pirate commence par les plus gros coffres

Galaxy Research avait déjà identifié 293 coffres multisignatures 2-sur-2 créés dans le cadre de la troisième vague. L’attaquant semble désormais les vider méthodiquement, en commençant par les plus importants. Les onze plus gros ont déjà été déplacés.

Cette nouvelle étape prolonge l’incident Coldcard que Bref Crypto suivait déjà en août, lorsque des milliers de bitcoins anciens avaient commencé à changer d’adresse après la découverte de la vulnérabilité.

Les prochains coffres importants contiennent encore environ 30,81 BTC, tandis que les plus petits, classés entre les rangs 61 et 293 par Galaxy, totalisent 33,77 BTC. La troisième vague n’est donc pas vidée, loin de là.

Le suivi on-chain a également permis d’identifier un coffre jusque-là inconnu regroupant des fonds issus de 58 adresses. Galaxy estime qu’il pourrait appartenir à une autre victime Coldcard, sans pouvoir encore confirmer l’origine exacte de la perte.

Si ce nouveau lot est finalement intégré au calcul, le total attribué à l’incident pourrait atteindre environ 1 806 BTC, soit près de 144 millions de dollars aux prix actuels.

THORChain puis CoinJoin compliquent désormais le suivi

Le premier mouvement important a eu lieu le 2 septembre. Environ 20,5 BTC ont été envoyés vers THORChain, protocole permettant d’échanger directement des actifs entre différentes blockchains. Une partie des bitcoins a ainsi été convertie en Ether puis envoyée vers de nouvelles adresses Ethereum.

Les mouvements suivants ont changé de méthode.

Les 5 et 6 septembre, l’attaquant a commencé à utiliser CoinJoin, une technique qui regroupe les transactions de plusieurs participants afin de rendre plus difficile l’identification de l’origine et de la destination exactes des fonds.

CoinJoin n’est pas, en soi, un outil criminel. Il sert aussi à améliorer la confidentialité des utilisateurs Bitcoin. Dans ce dossier précis, Galaxy considère cependant ces mouvements comme une tentative de brouiller la traçabilité des fonds volés.

Cette difficulté est bien connue des enquêteurs. Les malwares visant wallets et comptes crypto cherchent souvent d’abord à obtenir les identifiants ou les clés, puis les attaquants multiplient ensuite les mouvements entre protocoles pour compliquer le suivi.

Bitcoin garde néanmoins une particularité : chaque déplacement reste publiquement visible. L’identité derrière l’adresse peut être inconnue, pas la transaction.

La faille concerne toujours les seeds, pas Bitcoin

Le point technique reste essentiel : Bitcoin lui-même n’a pas été compromis.

Dans son point de sécurité officiel, Coinkite explique que l’incident vient d’un bug de firmware introduit dans le chemin de génération des seeds Coldcard. Certains appareils ont produit des phrases de récupération avec moins d’entropie, donc moins de hasard qu’attendu. Les attaquants ont ensuite pu reconstruire certaines clés privées hors ligne, sans pirater physiquement les appareils.

La distinction peut sembler technique, elle change pourtant tout. Une seed suffisamment aléatoire est censée offrir un espace de recherche tellement immense qu’une attaque par force brute devient irréaliste. Réduire cette entropie réduit mécaniquement le nombre de combinaisons à tester.

Coinkite propose désormais les firmwares 5.6.2 pour Mk4/Mk5 et 1.5.2Q pour Q comme versions standard recommandées. L’entreprise insiste toutefois sur un point : mettre à jour le firmware ne répare pas une seed vulnérable déjà créée. Les utilisateurs concernés doivent générer une nouvelle seed puis transférer les fonds vers celle-ci.

Cette leçon dépasse Coldcard. BitBox avait lui aussi dû corriger récemment deux vulnérabilités sévères dans ses hardware wallets. BTCPay Server avait de son côté offert jusqu’à 3 BTC pour récupérer des fonds volés après une autre faille.

La self-custody élimine le risque de faillite d’un exchange ou de gel arbitraire des retraits. Elle transfère en revanche la responsabilité vers le logiciel, le matériel et la qualité des clés utilisées.

Coldcard en donne aujourd’hui une démonstration coûteuse : les règles de Bitcoin ont tenu, mais l’outil chargé de générer certaines clés n’a pas tenu le même standard.