Galaxy recense 15 attaquants liés à l'exploit Coldcard, pertes proches de 130 M$

Galaxy Digital affirme avoir identifié au moins 15 attaquants distincts ayant exploité une vulnérabilité Coldcard, à la suite de nouveaux signalements de victimes publiés après que l'affaire est devenue publique. Selon Alex Thorn, ces divulgations individuelles ont permis aux analystes d'attribuer et de "labelliser" des attaques qui seraient sinon restées invisibles, le mode opératoire différant d'un piratage d'échange centralisé. Les informations qui remontent décrivent une campagne morcelée, menée par plusieurs acteurs, plutôt qu'un vol coordonné. Un exemple illustre cette dynamique : le signalement d'un vol inférieur à 1 BTC a conduit les chercheurs à relier l'incident à une attaque plus large ayant siphonné 12 BTC depuis 126 adresses, montrant qu'une plainte limitée peut révéler un schéma bien plus étendu. Galaxy évalue désormais les pertes confirmées à environ 100 M$ sur trois vagues d'attaque. L'équipe soupçonne une quatrième vague, susceptible de porter le total à près de 130 M$ en Bitcoin. Cette estimation en hausse suggère que la reconstitution de l'exploit se poursuit et que le périmètre exact des vols reste difficile à établir. À la différence d'un hack unique avec un point d'entrée identifiable, des "seeds" de portefeuilles compromises peuvent être exploitées séparément par des acteurs différents, compliquant l'attribution, le recensement des victimes et le calcul des pertes totales. La multiplication des attaquants relance aussi le débat sur la protection offerte par l'autoconservation lorsque les secrets générés par le matériel deviennent prévisibles. La discussion technique s'est déplacée vers la question du coût d'une détection précoce : Haseeb Qureshi, managing partner chez Dragonfly, a soutenu qu'environ 2 $ d'"AI hardening" auraient pu éviter l'incident, en citant des tests où des modèles auraient reproduit la vulnérabilité en quelques minutes. Cette affirmation reste contestée. Plusieurs démonstrations ont été réalisées après la divulgation publique du défaut, et certains chercheurs soulignent l'absence de conditions en aveugle, de méthodologie documentée et d'analyse des faux positifs. Un autre point alimente la controverse : un modèle open source aurait identifié le problème en 20 minutes sans accès au web, ce qui ravive la question de la faisabilité d'une détection avant divulgation. Selon Castle Labs, le bug aurait réduit l'entropie de la clé privée Coldcard à environ 40 bits, très en dessous des 128 bits généralement associés à une seed standard de 12 mots. Cette chute d'entropie rend la découverte par force brute nettement plus accessible et peut expliquer pourquoi plusieurs attaquants ont pu agir en parallèle. L'épisode met en lumière une défaillance de tests : la promesse de sécurité d'un portefeuille matériel dépendait d'une entropie que le firmware a discrètement affaiblie. Alors que l'IA réduit le coût de la revue de code pour les défenseurs comme pour les criminels, l'enjeu reste de savoir si les fabricants pourront renforcer leurs versions avant que des outils automatisés ne transforment des erreurs d'implémentation obscures en opportunités de vol à grande échelle sur des adresses Bitcoin dormantes.