Coldcard : une faille de firmware vieille de cinq ans exploitée, plus de 100 M$ de bitcoins dérobés
Résumé du marché par IA
Une faille du micrologiciel Coldcard, passée inaperçue pendant cinq ans, a permis à des attaquants de voler ~1 600 BTC (> 100 M$) depuis des milliers d'adresses, mettant en évidence le risque opérationnel résiduel de l'auto-conservation matérielle. Bien que les appareils soient désormais corrigés, que les forces de l'ordre aient été informées et que la plupart des pièces volées restent immobiles sur la chaîne, l'incident peut accroître à court terme les primes de risque et déplacer les flux vers des solutions multisig ou des enveloppes réglementées (p. ex., des ETF), ce qui pourrait peser sur le sentiment à l'égard du BTC.
Niveau d'impact
● Élevé
Actifs concernés
BTC/USDT+0.33%
Infos de l'IA · BTC/USDTInfos de l'IA
▼ Baissier
Trader maintenant
⚠️ Les infos générées par l'IA sont basées sur des contenus d'actualité et fournies à titre informatif uniquement. Elles ne constituent pas des conseils en investissement et ne reflètent pas les positions de BingX. Investir comporte des risques. Tradez de manière responsable.
Cory Klippsten assistait à un mariage à Paris lorsque les alertes ont commencé à affluer. "Le week-end a été brutal pour tant de personnes qui ont perdu des bitcoins", a confié en entretien le PDG de Swan. "J’envoyais des messages à 4 heures du matin pour aider quelqu’un sur le fuseau Pacifique à mettre ses pièces en sécurité."
Les faits remontent à jeudi dernier, quand des attaquants ont commencé à siphonner des bitcoins depuis des milliers de portefeuilles matériels Coldcard. En cause : une faille de firmware passée inaperçue pendant cinq ans. Un défaut introduit par une mise à jour de mars 2021 du portefeuille fabriqué par Coinkite a laissé certains utilisateurs avec des clés privées moins robustes qu’elles n’auraient dû l’être.
Après trois vagues d’attaque, près de 1"600 BTC — valorisés à plus de 100 millions de dollars — ont été transférés depuis environ 7"300 adresses, selon Galaxy Research. Swan, plateforme américaine spécialisée dans l’achat, la conservation et l’autogarde de bitcoin, a suspendu les retraits pour les clients jugés à risque, diffusé des avertissements dans l’application et étendu son assistance à la migration au-delà de sa base d’utilisateurs. "Notre équipe a tout arrêté pour appeler les clients, puis nous avons ouvert l’aide à toute personne qui en avait besoin, qu’elle ait déjà été cliente de Swan ou non", a précisé Klippsten.
Une semaine plus tard, près de 90 % des bitcoins volés n’ont toujours pas bougé on-chain. Les adresses d’attaquants confirmées ont été transmises aux autorités fédérales américaines, et Coinkite, basé à Toronto, indique avoir déployé des correctifs sur toutes les gammes d’appareils concernées. Une équipe de bénévoles financée par OpenSats a passé au crible plus de 150 dépôts open source et n’a trouvé aucun indice suggérant une extension du problème au-delà de Coldcard.
L’affaire relance le débat dans l’industrie sur la pertinence de l’autogarde, certains estimant que les investisseurs devraient privilégier des véhicules comme les ETF plutôt que de détenir eux-mêmes leurs bitcoins. Klippsten assure au contraire que les clients ne renoncent pas à l’autogarde. Ils cherchent surtout à rendre l’accès à leurs fonds plus difficile.
"Les gens basculent en ce moment vers Swan Vault", explique-t-il, en référence à l’offre multisig collaborative du groupe, conçue pour éviter qu’un seul appareil puisse mettre en danger les fonds d’un utilisateur. "Au lieu d’abandonner l’autogarde, beaucoup la renforcent."
Son bilan reste prudemment optimiste : "C’est terrible que des personnes aient perdu des coins, alors qu’elles avaient fait tout ce qu’il fallait selon ce que beaucoup de figures reconnues du secteur leur avaient recommandé. Mais Bitcoin est antifragile et les outils se renforcent d’heure en heure. Au final, cela pourrait être la meilleure chose qui soit arrivée à l’autogarde."
