Un pirate lié à Coldcard retire 97 BTC (7,7 M$) via une opération passant par Ethereum

Selon CoinDesk, Galaxy Research a signalé de nouveaux mouvements on-chain liés à la troisième vague de fonds dérobés à partir de portefeuilles matériels Coldcard. Les chercheurs indiquent que l'attaquant a déplacé 97,09 BTC, soit environ 7,7 millions de dollars au cours de lundi, ce qui représente près de 45% du total volé lors de cette troisième vague. Les flux se répartissent en deux trajectoires. Le 2 septembre, l'attaquant a d'abord transféré environ 20,5 BTC depuis l'adresse de coffre la plus importante, avant de les échanger contre de l'Ether via THORChain. Durant le week-end, un autre lot est entré dans un cycle de CoinJoin afin de brouiller le lien entre entrées et sorties. Galaxy Research estime que le volume final de bitcoins ayant atteint Ethereum s'élève à 20,56 BTC. Par ailleurs, 57,24 BTC restent sur une adresse unique sous forme de "change" CoinJoin, et les chercheurs disent avoir perdu la trace d'environ 19 BTC supplémentaires au fil des transactions ultérieures. Galaxy Research précise que, lors de cette troisième vague, les attaquants ont mis en place 293 adresses de coffre multisignature 2-sur-2 pour les fonds des victimes, en les traitant par ordre décroissant des montants. À ce stade, 11 de ces adresses ont été vidées. Les 10 adresses suivantes détiennent ensemble 30,81 BTC. Les 233 adresses restantes, plus petites, totalisent 33,77 BTC. Environ 82% des bitcoins volés n'auraient pas bougé depuis le début de l'incident. La faille remonterait à un firmware de 2021. Le vol serait lié à un défaut introduit par Coinkite en mars 2021, lorsque la génération de la graine (seed) est passée de la puce matérielle d'aléa de l'appareil à une alternative logicielle, faisant chuter l'entropie des clés de 128 bits à un niveau pouvant descendre à environ 40 bits. D'après les chercheurs, cette faiblesse permettrait à des attaquants de reconstruire hors ligne des clés privées et de vider des adresses à signature unique sans accéder physiquement au matériel. Coinkite a depuis mis à jour le firmware, mais les graines créées avec d'anciennes versions ne peuvent pas être corrigées par une simple mise à niveau: les utilisateurs concernés doivent générer de nouvelles seeds et transférer leurs actifs. Galaxy Research évoque aussi une adresse de trésorerie jusqu'ici non signalée, alimentée par 58 adresses. L'origine n'est pas confirmée, mais la firme estime qu'elle pourrait également contenir des fonds provenant de victimes Coldcard. Si cette hypothèse se confirme, le total des montants volés recensés publiquement par Galaxy Research atteindrait environ 1.806 bitcoins, soit près de 143,9 millions de dollars au prix cité dans l'article. La société avait également mentionné une quatrième vague non confirmée de 638,5 bitcoins; si elle est validée, l'ampleur totale de l'incident dépasserait 2.400 bitcoins.