Exploit COLDCARD sur les "seed phrases" : 1 159 BTC toujours immobilisés, 64 BTC envoyés vers un mixeur

L'exploitation de la faille touchant les portefeuilles COLDCARD continue de se lire en clair sur la blockchain. D'après Galaxy Research, le plus grand acteur identifié conserve toujours 1 159 BTC répartis sur sept adresses, sans mouvement depuis le balayage initial. En parallèle, un autre acteur a commencé à faire transiter des montants plus modestes via un mixeur, offrant aux enquêteurs une nouvelle piste à surveiller. Selon le suivi on-chain de Galaxy Research, les 1 159 BTC ont été regroupés vers sept adresses en environ 41 minutes. Depuis, aucune sortie n'a été observée vers des plateformes d'échange, des mixeurs ou des services de conversion habituels. Les fonds ne sont pas "gelés" au sens du protocole Bitcoin, mais toute tentative de conversion en fiat ou d'utilisation de services régulés risquerait de déclencher des contrôles AML/KYC. Les forces de l'ordre, des exchanges et des sociétés d'analyse ont signalé environ 600 adresses liées au vol au sens large. Cette cartographie augmente le risque qu'un dépôt sur une plateforme conforme soit rapidement détecté et soumis à examen. Côté mixage, les analystes ont identifié un flux de 64 BTC vers une transaction liée à un mixeur. Environ 10 BTC ont été mélangés immédiatement. Les quelque 54 BTC restants sont revenus en "change", puis ont été fractionnés en sorties d'environ 7 BTC en vue de mixages supplémentaires. Même si l'objectif des mixeurs est de brouiller la provenance en recomposant les transactions, l'anonymat n'est pas garanti. Ici, la taille relativement élevée et l'uniformité des sorties facilitent le suivi du schéma de blanchiment, ce qui permet aux enquêteurs de continuer à tracer les sauts. Galaxy Research estime que cette activité de mixage n'est pas liée au cluster des sept adresses détenant 1 159 BTC. Des informations antérieures suggéraient déjà que plusieurs attaquants auraient pu exploiter la même faiblesse de génération de seed sur COLDCARD. L'activité observée dans un cluster ne doit donc pas être attribuée automatiquement au même acteur. Galaxy Research a précédemment confirmé qu'environ 1 596 BTC avaient été dérobés en trois vagues d'attaque, provenant d'environ 7 300 adresses, et a identifié 14 incidents connexes de plus petite taille. Une quatrième vague suspectée pourrait porter le total à près de 2 055 BTC, même si cette estimation n'a pas encore été pleinement corroborée par des signalements de victimes. À l'origine, la vulnérabilité provient d'un bug de firmware qui affaiblissait l'aléa lors de la génération des phrases de récupération. Les attaquants pouvaient reproduire hors ligne des seeds candidates, dériver des adresses, puis les faire correspondre à des adresses actives sur la blockchain, sans accès au matériel, sans PIN et sans compromission du protocole. Coinkite a publié un firmware corrigé, mais une mise à jour ne protège pas un seed généré avec une version vulnérable. Les utilisateurs concernés doivent créer un nouveau seed et transférer leurs fonds vers des adresses dérivées de ce nouveau seed pour rétablir la sécurité. Sur le volet répressif, Galaxy indique avoir partagé des adresses confirmées d'attaquants et de victimes avec les forces de l'ordre américaines, des exchanges et des groupes d'enquête cyber. L'élargissement de la liste d'adresses renforce les chances de détecter des tentatives de passage par des canaux régulés. La récupération reste néanmoins incertaine : les attaquants peuvent fragmenter les fonds, utiliser des mixeurs, des plateformes décentralisées ou des juridictions hors de portée américaine avant de chercher à encaisser. À retenir : le plus grand attaquant lié à COLDCARD conserve pour l'instant 1 159 BTC inchangés depuis le sweep initial, exposant ces fonds à une surveillance publique permanente. En parallèle, le recours récent à un mixeur par un autre acteur a créé une piste exploitable que les enquêteurs suivront de près à mesure que la situation évolue.