Le piratage de Coldcard pousse 15 milliards de dollars en bitcoins à l’abri

Le piratage de Coldcard s’est transformé en la plus importante attaque contre des portefeuilles matériels depuis des années. Mais l’essentiel s’est joué loin des regards. Tandis que les assaillants vidaient des wallets les uns après les autres depuis la fin juillet, le reste du marché mettait à l’abri un volume de bitcoins très supérieur au butin dérobé.

Pour certains observateurs, cet épisode en dit davantage sur le bitcoin que le vol lui-même.

Le piratage de Coldcard pousse le bitcoin vers des adresses plus sûres

Les attaquants visaient un petit appareil du canadien Coinkite, conçu pour conserver hors ligne les clés Bitcoin. En raison d’une faille logicielle, ces clés pouvaient être devinées depuis le 30 juillet.

Pendant qu’ils vidaient adresse après adresse, le reste du marché s’est mis en mouvement. Dans les jours entourant l’attaque, 233 000 bitcoins ont quitté les wallets de détenteurs de long terme. Ces pièces n’avaient pas bougé depuis au moins 155 jours et sont considérées sur le marché comme les capitaux les plus patients.

Au cours actuel, cela représente environ 15 milliards de dollars, selon les données du cabinet d’analyse Checkonchain. Plusieurs vagues d’attaque ont suivi, mais le butin des pirates est resté limité à environ 2 100 BTC.

Autrement dit, plus de 110 fois plus de bitcoins ont été déplacés vers de nouvelles adresses qu’il n’en a été volé. Selon la plateforme d’analyse Glassnode, cela a provoqué la plus forte baisse de l’offre détenue par les investisseurs de long terme depuis décembre 2024. Ces investisseurs convaincus possèdent désormais ensemble environ 14,7 millions de BTC.

La plupart des pièces ont atterri dans un nouveau portefeuille appartenant au même propriétaire. Dans les données, cela ressemble à une sortie massive, alors qu’il s’agit surtout d’un changement de serrure.

« Je ne pense pas que les gens mesurent l’ampleur des mouvements de pièces provoqués par le piratage de Coldcard », a écrit l’analyste James van Straten. Selon lui, ce transfert est comparable à celui observé après l’effondrement brutal de la plateforme d’échange FTX en 2022.

Nick Neuman, directeur général de la société de conservation Casa, y voit la preuve que la conservation en propre fonctionne.

« Les données on-chain autour de l’incident Coldcard soulignent l’importance de la conservation en propre pour la résilience du Bitcoin en tant que classe d’actifs », a-t-il écrit sur X.

La différence avec une plateforme d’échange piratée est majeure. Dans ce cas, les avoirs de tous les clients sont concentrés au même endroit : en cas d’intrusion, tout peut disparaître d’un seul coup. Ici, l’attaquant devait compromettre chaque adresse séparément, ce qui a laissé au reste du marché le temps de réagir.

« Si tous ces BTC avaient été confiés à un dépositaire et que celui-ci avait été piraté, les chiffres auraient été inversés », a écrit Neuman.

Une serrure que l’on pouvait deviner

Le problème couvait depuis mars 2021. Une erreur dans le firmware amenait le Coldcard à générer ses clés via un générateur logiciel, au lieu de la puce dédiée intégrée à l’appareil.

Le hasard n’en était donc plus vraiment un. Le niveau de sécurité est passé de 128 bits à environ 40 bits, ce qui permettait, avec une puissance de calcul suffisante, de deviner les clés secrètes.

Une mise à jour ne suffit pas à corriger le problème, car une clé générée de manière faible reste faible. Coinkite appelle donc toute personne ayant créé une phrase de récupération avec les firmwares 4.0.1 à 4.1.9, c’est-à-dire la suite de mots permettant de restaurer un portefeuille, à considérer ce wallet comme perdu.

La plupart des fonds ont donc été transférés vers un nouveau portefeuille appartenant au même propriétaire. Une partie a été déplacée vers des dispositifs multisig, où plusieurs clés doivent valider une transaction, de sorte qu’un seul appareil compromis ne suffit pas.

Le mouvement ne s’est pas limité aux détenteurs de Coldcard. Selon Casa, des propriétaires de Ledger ou de Trezor sont également passés à l’action, deux marques connues qui n’étaient pourtant pas touchées. Ils ont préféré jouer la prudence après qu’un groupe de chercheurs en sécurité a aussi découvert des milliers d’autres vulnérabilités dans des projets Bitcoin à code source ouvert.

Tout le monde n’y voit pas pour autant un motif de réassurance. Lorenzo Valente, directeur de la recherche sur les actifs numériques chez ARK Invest, avait déjà qualifié le secteur des portefeuilles matériels de véritable désordre. Selon lui, conserver soi-même ses clés revient simplement à échanger un risque contre un autre.