Faille du firmware Coldcard : un vol piloté par l'IA dérobe plus de 1'300 BTC (environ 89 M$)

Morning Minute — Tyler Warner (opinions personnelles ; pas nécessairement celles de Decrypt). Bonjour. À la une aujourd'hui : Coldcard, portefeuille matériel très respecté par les détenteurs de Bitcoin, se retrouve au cœur de l'un des plus grands vols liés à l'auto-conservation (self-custody) de l'histoire des cryptos. Ce qui s'est passé Des attaquants auraient vidé méthodiquement des Coldcard Mk3 sans jamais avoir accès aux appareils. Il ne s'agit pas de hameçonnage, mais d'une vulnérabilité de firmware. Selon les informations disponibles, une mise à jour du firmware de Coldcard datant de mars 2021 a introduit un mécanisme de repli logiciel pour la génération de la graine (seed), contournant le générateur matériel de nombres aléatoires. Cette baisse d'entropie aurait fait chuter la robustesse des clés du niveau attendu de 128 bits à environ 40 bits, rendant certaines seeds devinables. Les clés privées pouvant être reconstruites à partir de cette entropie affaiblie, des bitcoins stockés hors ligne, y compris dans un coffre bancaire, ont été siphonnés. Un victime canadienne a perdu 18,25 BTC et explique que le plus difficile est d'avoir le sentiment d'avoir "tout fait correctement". Ampleur et calendrier Les vols auraient commencé la semaine dernière et se sont rapidement intensifiés. L'estimation initiale d'environ 38 M$ a été revue à la hausse à mesure que les chercheurs retraçaient l'activité. Galaxy Research indique désormais qu'environ 1'367 BTC (environ 88,6 M$) ont été dérobés via 4'585 adresses, en trois vagues de "sweeps" (vidage de fonds). Une nouvelle vague a été signalée samedi. Galaxy estime que l'exploitation est toujours en cours et prévient que tous les appareils vulnérables pourraient finir vidés si rien n'est fait. La société dit avoir transmis environ 600 adresses suspectées d'être liées aux attaquants aux enquêteurs fédéraux. Des chercheurs jugent qu'une quatrième vague potentielle pourrait porter les pertes vers 114 M$. Ils notent aussi que certaines des opérations les plus récentes pourraient être évitées en devançant le règlement des transactions dans le mempool. Le rôle de l'IA et les implications Coinkite, fabricant de Coldcard, affirme devoir considérer qu'un attaquant a utilisé l'IA pour passer au crible le firmware open source à la recherche de failles. Un audit de code assisté par IA mené par Coinkite quelques semaines plus tôt n'avait pas identifié ce bug. Alex Thorn, responsable de la recherche chez Galaxy, décrit un comportement de balayage automatisé et "probablement orchestré avec un grand modèle de langage". Des observateurs y voient un signal préoccupant : en peu de temps, l'IA a été associée à la compromission de candidats cryptographiques, à des évasions de sandbox, et désormais à des vidages massifs de portefeuilles. Dans l'écosystème crypto, cela relance le débat sur la manière dont l'IA modifie l'équilibre entre attaque et défense, au détriment de la promesse centrale de l'auto-conservation. Ce que les utilisateurs doivent savoir (et faire) Si vous détenez une Coldcard Mk3 ou un appareil potentiellement concerné, consultez d'abord les canaux officiels de Coinkite pour les consignes et avis de firmware avant toute action. Considérez les fonds sur les appareils potentiellement vulnérables comme exposés tant que l'entreprise n'a pas communiqué un correctif clair ou une procédure de migration. Envisagez de déplacer vos bitcoins vers des solutions sécurisées et vérifiées uniquement après confirmation des mises à jour et en suivant strictement les instructions du fabricant. En cas de doute, faites-vous accompagner par un expert. L'affaire évolue. Je continuerai à suivre les mises à jour au fur et à mesure des réactions du fournisseur et des enquêteurs.