Le fabricant de portefeuilles Bitcoin piraté alerte : l’IA n’a pas détecté une faille critique

Le fabricant canadien de portefeuilles matériels Coinkite a lancé un avertissement remarqué après le piratage majeur de Coldcard. Selon l’entreprise, aucun des modèles d’IA testés n’a détecté la faille logicielle qui aurait permis aux pirates de dérober l’équivalent d’environ 130 millions de dollars en Bitcoin (BTC).

Coinkite remet ainsi en cause la fiabilité de l’IA comme outil de vérification des logiciels dont la sécurité est critique.

L’IA est passée à côté d’une faille de sécurité critique

Selon Coinkite, la vulnérabilité ne se trouvait ni dans la cryptographie ni dans le cœur du code, mais à l’endroit où deux composants logiciels distincts communiquent entre eux. C’est précisément cette zone qui a échappé aussi bien aux contrôles humains qu’aux analyses de code assistées par IA.

L’entreprise affirme avoir encore fait examiner le micrologiciel par l’IA dans les semaines précédant l’attaque. Après le piratage, le logiciel a également été testé à l’aide de plusieurs modèles d’IA avancés. Aucun de ces systèmes n’a identifié la vulnérabilité.

Pour Coinkite, il s’agit d’un signal d’alerte important pour l’ensemble de l’écosystème Bitcoin. Les entreprises qui utilisent l’IA pour auditer des logiciels sensibles sur le plan de la sécurité devraient revoir sans délai leurs méthodes et accorder une attention particulière aux interfaces entre différents modules logiciels.

Le piratage ébranle la confiance dans les portefeuilles matériels

Le piratage de Coldcard a suscité une vive inquiétude dans le secteur crypto. Les portefeuilles matériels sont depuis des années considérés comme l’un des moyens les plus sûrs de conserver des cryptomonnaies, car les clés privées sont stockées hors ligne et restent en principe hors de portée des pirates.

Selon le cabinet d’analyse Galaxy Research, quatre vagues d’attaques auraient déjà eu lieu, pour un butin total estimé à 130 millions de dollars en Bitcoin.

L’attaque touche ainsi à l’un des principes fondamentaux de la crypto : la conservation directe de ses actifs numériques. Pour Nikhil Raghuveera, dirigeant de la société blockchain Predicate, l’incident montre comment une seule vulnérabilité peut fragiliser la confiance dans l’ensemble du système.

Un avertissement pour tout le secteur

Coinkite souligne que les enseignements dépassent largement le seul cas de Coldcard. Selon l’entreprise, les développeurs doivent mieux comprendre comment cette vulnérabilité a pu apparaître et pourquoi les contrôles traditionnels comme les systèmes d’IA ne l’ont pas repérée.

Le fabricant appelle les autres projets Bitcoin, en particulier ceux qui reposent sur des logiciels open source, à réexaminer leurs processus de sécurité. Pour Coinkite, ce piratage montre que l’IA peut être un outil utile, mais qu’elle ne remplace pas, à ce stade, des audits de sécurité approfondis pour les logiciels critiques.