Coldcard visé par une quatrième vague d'attaques coordonnées : 388,9 BTC dérobés en 14 blocs

Les utilisateurs de Coldcard font face à une quatrième vague de vols organisés, d'une ampleur désormais significative. Alex Thorn, responsable de la recherche chez Galaxy Research, signale une nouvelle séquence malveillante ayant siphonné environ 388,9 BTC depuis 462 adresses victimes sur seulement 14 blocs, du 960 778 au 960 792. Selon l'analyse, 218 transactions ont servi à regrouper les fonds vers 216 adresses de destination jusque-là inédites. Le volume de transactions a bondi à près de 45 fois le niveau observé avant l'incident, un profil compatible avec une opération structurée. Une partie des fonds aurait déjà été redirigée vers des adresses de "second saut", et des transactions similaires restent en attente dans le mempool, ce qui suggère que le balayage n'est pas totalement achevé. Les données on-chain indiquent aussi un opt-in au Replace-by-Fee (RBF). Ce détail peut offrir une marge de manœuvre limitée aux victimes qui réagissent rapidement, tant que leurs transactions sortantes sont encore remplaçables. ### Une attaque rapide et coordonnée Ce qui distingue cette vague d'un vol opportuniste, c'est la vitesse d'exécution et la coordination. Les 462 adresses ont été touchées sur une fenêtre de blocs resserrée, avec des sorties dirigées vers des adresses jamais utilisées auparavant. L'enchaînement "nouvelles adresses", consolidation à haute cadence et volumes très au-dessus de la normale évoque des scripts préparés plutôt qu'une intervention manuelle. L'attaque a eu lieu durant un week-end, période où de nombreux utilisateurs ne surveillent pas leurs transactions. Galaxy Research note que le transfert rapide vers des portefeuilles de second saut complique la traçabilité et rend une récupération improbable sans action immédiate. Le RBF peut constituer une bouée de sauvetage pour les victimes qui repèrent l'attaque pendant que leurs transactions ne sont pas confirmées. Les utilisateurs ayant des transactions sortantes en attente pourraient tenter d'accélérer une transaction concurrente vers une adresse sûre, sous réserve de maîtrise technique et de compatibilité du portefeuille. Pour la majorité, les fonds seraient déjà irrécupérables. ### Un schéma de vols répété D'après Galaxy Research, trois campagnes distinctes avaient déjà ciblé des adresses générées par Coldcard lors de vagues précédentes. Au total, ces épisodes auraient drainé 1 367,05 BTC depuis 4 585 adresses, pour une valeur d'environ 88,6 millions de dollars au moment des vols. Ces incidents ont conduit Coldcard à reconnaître une vulnérabilité de firmware permettant aux attaquants de dériver des clés privées à partir de graines (seeds) créées sur des appareils concernés. Le fabricant a interrompu les expéditions et détruit l'ensemble des appareils COLDCARD restant dotés du firmware vulnérable. Les produits Satscard, Opendime et Tapsigner ne seraient pas affectés. Coldcard a publié un firmware corrigé, qui protège les seeds nouvellement générées. Le correctif n'est pas rétroactif : toute seed créée avec le firmware vulnérable demeure compromise. La consigne de l'entreprise est sans ambiguïté : générer une nouvelle seed sur le firmware corrigé et déplacer immédiatement tous les fonds associés aux anciennes seeds. Cette quatrième vague suggère qu'un nombre important d'utilisateurs ne l'a pas encore fait, et que les attaquants exploitent systématiquement ce retard. ### Réponse de Coldcard et recommandations La décision de suspendre les expéditions et de détruire les stocks constitue une mesure rare dans le secteur des portefeuilles matériels, révélatrice d'un risque concret. La phase de correction met toutefois en lumière la friction propre à l'auto-conservation : générer une nouvelle phrase de récupération implique un changement complet d'adresses, ainsi que des ajustements potentiels des portefeuilles logiciels connectés, des configurations multisig et des procédures de sauvegarde. Pour les détenteurs de fonds encore liés à une seed issue du firmware vulnérable, Galaxy Research insiste sur l'urgence : sortir les fonds des anciennes seeds, utiliser des frais plus élevés que d'habitude pour accélérer la confirmation, et tirer parti du RBF lorsque c'est possible. La vidange observée lors de cette quatrième vague indique que les attaquants surveillent activement le réseau à la recherche de soldes restants. ### Enjeux plus larges pour l'auto-conservation Au-delà d'un simple bug matériel, l'affaire Coldcard met en évidence les risques de chaîne d'approvisionnement et de cycle de vie inhérents à l'auto-conservation. Les utilisateurs font confiance au firmware livré par le fabricant, et les démarches de vérification, même en open source, ne sont pas toujours appliquées. Lorsqu'un défaut de génération de seed passe inaperçu pendant des mois, la remédiation est longue et difficile. Le fait que quatre vagues distinctes se produisent, espacées de plusieurs mois, suggère un attaquant patient disposant d'une méthode fiable pour faire correspondre des seeds à des adresses, possiblement à partir d'un extrait issu d'une période de faible entropie. Reste à déterminer si l'attaquant détient l'ensemble de la liste des seeds compromises ou seulement une partie, et si d'autres failles liées à des versions antérieures du firmware existent sans avoir été divulguées. La persistance de l'attaque laisse penser que la liste pourrait être étendue, et que les 462 adresses touchées ne représentent qu'un lot supplémentaire. En cas de balayage systématique continu, les pertes totales pourraient encore augmenter. Pour le marché des portefeuilles matériels, cet épisode rappelle que les audits de firmware et une divulgation transparente des vulnérabilités ne sont pas facultatifs : ils constituent le cœur de la promesse de sécurité.