Galaxy Research attribue l'attaque visant des portefeuilles Bitcoin Coldcard à 1'196 adresses vidées pour 70 M$

Galaxy Research indique avoir identifié 1'196 adresses Bitcoin liées à des portefeuilles matériels Coldcard qui ont été vidées de 1'082,65 BTC, soit environ 70,2 millions de dollars, en l'espace de 41 minutes le 30 juillet. D'après le rapport, les transactions se sont étalées de 01:10:20 UTC à 01:51:26 UTC, sur six blocs Bitcoin, avant que Coinkite ne rende publique une vulnérabilité de firmware touchant certains modèles Coldcard. Galaxy précise n'avoir retrouvé aucune autre série de transactions présentant les mêmes caractéristiques au cours des 30 derniers jours. Un schéma on-chain relie les retraits à un même opérateur. Selon Galaxy Research, chaque transaction appliquait des frais réseau identiques de 30,0 sat/vB et ne générait aucune sortie de monnaie (change). Les chercheurs estiment que ce profil, atypique par rapport à des consolidations Bitcoin classiques, pointe vers une automatisation et un seul acteur. Les fonds auraient été prélevés sur 1'183 adresses native SegWit, sept adresses BIP49 et six adresses BIP44, une répartition jugée cohérente avec un balayage automatique de plusieurs chemins de dérivation. L'activité serait apparue par rafales, trois blocs intermédiaires ne montrant aucun "sweep" pendant cette fenêtre de 41 minutes. Galaxy ajoute que quatre adresses Bitcoin ont reçu les fonds dérobés et que ces avoirs n'ont pas bougé depuis la consolidation initiale. Côté éditeur, Coinkite avait d'abord alerté les utilisateurs sur un problème affectant des seeds générées sur des Coldcard Mk3 avec le firmware 4.0.1 et versions ultérieures. L'avis a ensuite été étendu à certaines versions de firmware des Mk4, Mk5 et de Coldcard Q, accompagné d'une publication de mises à jour d'urgence. Le PDG de Coinkite, Rodolfo Novak, a endossé la responsabilité du bug et présenté ses excuses, reconnaissant que le processus de revue n'avait pas permis de détecter le problème avant la mise en production. Il a aussi avancé que l'intelligence artificielle a pu contribuer à mettre au jour la vulnérabilité, estimant qu'une revue de code assistée par IA peut repérer des faiblesses plus vite que des contrôles manuels. Galaxy Research avertit que d'autres attaques restent possibles si des utilisateurs conservent des fonds sur des adresses Coldcard à signature unique concernées. Le cabinet souligne que de futurs vols pourraient ne pas reprendre le même schéma on-chain : la signature identifiée permet de relier l'attaquant initial, sans garantir la détection d'opérations ultérieures susceptibles de ressembler à des transferts légitimes. Galaxy recommande de déplacer les fonds vers des services de conservation de confiance ou des configurations d'autodétention multisignatures. Coinkite conseille d'installer le firmware mis à jour, de générer une nouvelle seed, de tester le portefeuille via un petit transfert et de conserver les anciennes sauvegardes jusqu'à la fin de la migration.