Portefeuilles Coldcard : une faille sur les "seeds" aurait permis le vol de millions en bitcoin

Un attaquant a exploité une faiblesse dans la génération des phrases de récupération ("seeds") de certains portefeuilles matériels Coldcard pour dérober, le 30 juillet, du bitcoin d’une valeur estimée à plusieurs dizaines de millions de dollars. Points clés - Des vols liés à Coldcard ont vidé des centaines de portefeuilles le 30 juillet. - Coinkite indique que certaines seeds de Coldcard Mk3 ne disposaient que d’environ 40 bits d’entropie au lieu de 128. - Les utilisateurs doivent installer un firmware corrigé, générer une nouvelle seed, puis seulement transférer les fonds. D’après une analyse approfondie de Galaxy Research, l’opération principale s’est déroulée de manière très coordonnée sur environ 25 minutes. Une analyse plus large a ensuite relié environ 1 196 adresses et jusqu’à 1 083 bitcoins, soit près de 70 millions de dollars, à une activité s’étalant sur environ 41 minutes. Ces chiffres pourraient évoluer au fur et à mesure que les enquêteurs continuent de tracer les transactions sur la blockchain publique Bitcoin. Une anomalie vieille de cinq ans touche des portefeuilles Bitcoin dans le monde Les portefeuilles touchés appartenaient majoritairement à des détenteurs de long terme ayant généré leur seed via des appareils Coldcard utilisant un firmware vulnérable, diffusé à partir de mars 2021. Coldcard est un portefeuille matériel "air-gapped" conçu par le fabricant canadien Coinkite, avec pour objectif de maintenir les clés Bitcoin (BTC) isolées des appareils connectés à Internet. De nombreuses adresses vidées étaient restées inactives pendant des années. L’attaquant a agi rapidement, a payé des frais de transaction fixes élevés et n’a laissé aucune sortie de monnaie (change output) : chaque adresse a été intégralement vidée. Cette signature laisse penser à une opération automatisée s’appuyant sur une liste de clés privées préparée, plutôt qu’à des mouvements effectués indépendamment par les utilisateurs. Les faits ne relèvent pas d’un phishing, d’un malware sur l’ordinateur d’un utilisateur, d’un vol physique d’appareil ou d’une intrusion distante classique. La cause se situe dans un défaut du firmware ayant affaibli l’aléa utilisé lors de la création de certaines seeds. Les seeds paraissaient normales, mais provenaient d’un espace de combinaisons bien plus restreint que prévu. Le générateur d’aléa de Coldcard a basculé sans alerte Une seed Bitcoin est un secret, souvent présenté sous forme de 12 ou 24 mots, à partir duquel le portefeuille dérive les adresses et les clés privées. Une seed de 12 mots correctement générée offre 128 bits d’entropie : un volume de combinaisons si vaste qu’il rend la devinette impraticable. Les appareils Coldcard devaient obtenir cet aléa via un générateur matériel de nombres aléatoires intégré au microcontrôleur. Ce composant s’appuie sur un bruit électrique physique, supposé imprévisible pour un observateur externe. Lors d’une migration de bibliothèque logicielle en 2021, Coinkite a indiqué que deux fonctions de génération aléatoire aux interfaces identiques avaient été confondues. L’une accédait au générateur matériel du dispositif, l’autre correspondait à un mode de secours logiciel, plus faible, destiné à des cartes sans matériel adéquat. Un réglage de configuration désactivait le chemin matériel par défaut de MicroPython, car Coinkite fournissait son propre "wrapper" matériel. Le logiciel ne vérifiait que la présence du réglage, pas son activation. Comme ce réglage existait mais valait zéro, la compilation aboutissait, et la génération de seeds basculait silencieusement vers le générateur logiciel affaibli. Données d’usine et horodatage ont remplacé le vrai hasard Ce mode de secours s’appuyait fortement sur des informations prévisibles de l’appareil, notamment un identifiant de puce comparable à un numéro de série, ainsi que des valeurs d’horloge interne liées au timing de démarrage. Un attaquant capable de contraindre ces entrées n’a plus à explorer l’immensité attendue d’un espace à 128 bits. Coinkite estime, dans les hypothèses actuelles, que l’espace de recherche effectif des seeds vulnérables de Mk3 se limitait à environ 40 bits. Cela reste un nombre important de possibilités, mais devient explorables avec du matériel spécialisé, surtout lorsque l’attaquant peut tester des seeds candidates face à des adresses Bitcoin visibles sur la blockchain. Les modèles Coldcard ultérieurs (Mk4, Q et Mk5) ont ajouté une part d’aléa via un "secure element". Seule une portion limitée alimentait toutefois le générateur concerné, ce qui laisse une entropie effective estimée à 72 bits pour des seeds créées avant l’installation d’un firmware corrigé : mieux que Mk3, mais en deçà de l’objectif de 128 bits. L’écart revient à remplacer un code de cadenas réellement aléatoire par un code dérivé du numéro de série du cadenas et de l’heure de sa première mise sous tension. Le résultat peut sembler aléatoire, mais une personne connaissant la formule et capable d’estimer les paramètres de départ peut le reproduire. De nombreux utilisateurs migrent, pas seulement depuis les Mk3, mais aussi depuis les Mk4, Q et Mk5. Coinkite demande de créer de nouvelles seeds Coinkite a publié des avis de sécurité et un firmware corrigé après avoir eu connaissance d’une menace active. L’entreprise affirme que les utilisateurs ayant généré leur seed avec un firmware affecté doivent créer une seed entièrement nouvelle avec une version corrigée, puis transférer leurs bitcoins vers des adresses contrôlées par cette nouvelle seed. Installer la mise à jour ne suffit pas. Une seed créée sous le système défectueux reste définitivement faible, car la mise à jour ne peut pas "ajouter" d’aléa à des mots déjà générés. Coinkite recommande notamment : mettre à jour l’appareil, créer une nouvelle seed, vérifier la sauvegarde et l’empreinte ("fingerprint") du portefeuille, confirmer l’adresse de réception, effectuer un petit transfert de test, puis déplacer le solde restant. L’ancienne sauvegarde doit être conservée jusqu’à confirmation du transfert, sans être considérée comme sûre. L’entreprise cite comme versions corrigées : Mk3 4.2.0 ou ultérieure, Mk4 et Mk5 5.6.0 ou ultérieure, et Q 1.5.0Q ou ultérieure, ainsi que les versions Edge correspondantes. Les produits Tapsigner, Opendime et Satscard utiliseraient un code différent et ne seraient, selon les informations disponibles, pas concernés. Des mesures supplémentaires ont protégé certains utilisateurs Les utilisateurs ayant ajouté suffisamment de lancers de dés indépendants lors de la génération de leur seed étaient nettement mieux protégés, leur propre aléa prenant le dessus sur l’entrée logicielle défectueuse. Coinkite indique qu’au moins 50 lancers privés d’un dé équilibré offrent une protection adéquate sur ce point, même si davantage de lancers augmentent la marge de sécurité. Une passphrase BIP39 robuste crée aussi un portefeuille distinct qui ne peut pas être reconstitué à partir des seuls mots de la seed. Les portefeuilles multisignatures, qui exigent des clés issues de plusieurs appareils ou emplacements pour déplacer des bitcoins, ont été en grande partie voire totalement protégés lorsque la seed Coldcard vulnérable ne constituait qu’une composante du schéma de signature. Ces protections restent optionnelles. Plusieurs victimes semblent avoir appliqué les recommandations standard de l’époque : acheter un portefeuille matériel réputé, générer la seed hors ligne, protéger la sauvegarde et ne jamais la saisir sur un appareil connecté. Coinkite assume la faute, l’IA s’invite dans le débat Le PDG de Coinkite, Rodolfo Novak, connu sous le pseudonyme NVK, a présenté des excuses publiques le 31 juillet et dit assumer pleinement la responsabilité de la défaillance du firmware. "I’m sorry and I’m devastated. Our team is heartbroken about yesterday’s news", a-t-il écrit. Il a rappelé que le correctif sécurise les seeds créées à l’avenir, sans pouvoir réparer celles générées avec le logiciel vulnérable. Novak a indiqué que Coinkite publierait un compte rendu technique complet après vérification des détails, et aiderait les utilisateurs touchés pour les démarches de dépôt de plainte, les déclarations d’assurance ou des investigations indépendantes. Il a aussi averti que des outils d’intelligence artificielle (IA) peuvent désormais passer au crible d’anciens codes publics pour détecter des faiblesses cachées plus vite que les processus de revue traditionnels. Coinkite dit devoir envisager qu’un attaquant ait utilisé l’IA pour inspecter son firmware open source, sans qu’aucun élément ne confirme à ce stade la manière dont la faille a été découverte. L’entreprise reconnaît également qu’un examen récent réalisé avec un modèle d’IA de premier plan n’a pas identifié le problème. Plusieurs fabricants concurrents de portefeuilles matériels ont communiqué sur les réseaux sociaux pour préciser que leurs produits ne sont pas concernés. "Ledger is not affected by the recently published Coldcard Mk3 advisory", a déclaré Ledger sur X après l’incident. La société ajoute que ses appareils utilisent un générateur matériel certifié (TRNG) intégré au Secure Element, fournissant "full 256 bits of entropy" pour chaque phrase de récupération de 24 mots. De son côté, Trezor a écrit : "Trezor users: your funds are safe", expliquant que le problème est limité au firmware personnalisé de Coldcard et à la façon dont certains appareils généraient l’aléa. Le compte X de Trezor a ajouté : "We have always mixed multiple independent sources of randomness together (device hardware + host + secure elements on newer models). We are truly sorry for everyone who has lost bitcoin." Ce que les utilisateurs Coldcard doivent surveiller L’identité de l’attaquant demeure inconnue, et les bitcoins volés peuvent quitter à tout moment les adresses de consolidation. Les enquêteurs cherchent encore à estimer le nombre de seeds vulnérables réellement générées, le volume de bitcoins encore exposés et si d’autres portefeuilles de grande valeur ont déjà été repérés. Coinkite pourrait disposer de peu d’informations sur d’anciens propriétaires. "Fun double-edged sword: Coinkite purges all their customer records after 120 days to protect against data breaches", a rapporté sur X Jameson Lopp, cofondateur de Casa. "Which means they are unable to reach out to customers who bought vulnerable coldcards over the past 5 years to warn them of this vulnerability." Le développeur bitcoin open source pseudonyme "calle" a également réagi : "I am truly saddened for everyone affected, especially those who may have just lost their life savings. The worst part is that they did everything right", a-t-il écrit sur X. L’affaire mettra à l’épreuve la capacité de Coinkite à restaurer la confiance dans Coldcard, et pourrait pousser les fabricants de portefeuilles matériels à renforcer les revues indépendantes portant sur la génération de seeds. Pour les utilisateurs, la priorité immédiate est claire : toute personne ayant créé une seed avec un firmware affecté sans ajout conséquent d’entropie via dés, sans passphrase ou sans protection multisignature doit considérer cette seed comme compromise et transférer les fonds avec prudence vers un nouveau portefeuille fraîchement généré. Dans la communauté, l’alerte se diffuse afin d’éviter que d’autres portefeuilles vulnérables ne soient vidés.