Coldcard appelle à déplacer d'urgence les fonds, une exploitation en cours aurait déjà siphonné jusqu'à 114 M$

Les développeurs du portefeuille matériel Coldcard demandent aux utilisateurs de déplacer immédiatement leurs bitcoins. La société a confirmé mardi que l'exploitation d'une faille, à l'origine de retraits sur des portefeuilles en auto-conservation pouvant atteindre 114 millions de dollars, est toujours en cours. "Merci de considérer cela comme urgent. Migrez vos fonds", a écrit l'entreprise, en précisant que la menace est active. Coldcard invite aussi les utilisateurs à prévenir les détenteurs "moins en ligne", susceptibles de ne pas avoir vu l'alerte. Ces portefeuilles seraient les plus exposés, le correctif devant être appliqué manuellement. L'alerte n'est pas une simple mesure de précaution. CoinDesk a rapporté lundi qu'une possible quatrième vague de "sweeps" s'était déroulée au fil de la journée, emportant environ 449 BTC depuis 709 adresses selon le décompte révisé de Galaxy Research, faisant passer les pertes cumulées d'environ 89 M$ à un maximum de 114 M$. D'après CoinDesk, la faille provient d'un firmware resté dormant depuis 2021. Les portefeuilles configurés de manière à ce qu'une seule clé contrôle les fonds, sans seconde validation, restent vulnérables tant que leur propriétaire n'agit pas. Le risque est donc limité à certains appareils et versions de firmware. Les détenteurs du Mk3, modèle 2019 de Coldcard, sont invités à déplacer leurs fonds dès maintenant si le portefeuille a été configuré avec le firmware 4.0.1 ou une version ultérieure. Coinkite précise une exception: les utilisateurs ayant activé l'option "dés", qui consiste à lancer physiquement des dés au moins 50 fois puis à saisir les résultats. Dans ce cas, la clé est construite à partir de ces nombres plutôt que générée par l'appareil; ces portefeuilles n'auraient jamais utilisé le code défectueux et seraient considérés comme sûrs. Pour les Mk4, Mk5 et Q utilisant un firmware inférieur à 5.6.0 ou 1.5.0Q, il est recommandé de mettre à jour l'appareil, de créer un nouveau portefeuille, puis de transférer les bitcoins. La "seed" (phrase de récupération) constitue la clé maîtresse qui contrôle les actifs d'un portefeuille. Si elle est générée avec une entropie insuffisante, un attaquant peut la deviner et la reconstituer, puis vider le portefeuille sans jamais avoir accès au matériel. "Chaque portefeuille dépend au final d'un secret racine issu d'une entropie de grande qualité", a écrit Bouzon à CoinDesk par e-mail, ajoutant que cette entropie "doit être ancrée dans un matériel sécurisé, avec une architecture qui ne puisse pas rétrograder silencieusement vers une source logicielle non fiable". Il juge les alternatives moins bonnes, estimant que les portefeuilles logiciels sur du matériel non sécurisé sont encore plus risqués, et que confier ses fonds à une plateforme centralisée "ce n'est pas la propriété, c'est une reconnaissance de dette". Le bitcoin s'échangeait autour de 63'800 $ lors des premières heures de la séance américaine mardi, en variation limitée après l'alerte, selon les données de CoinDesk.