Auteur original : Oluwapelumi Adejumo
Compilation originale : Saoirse, Foresight News
La crise du portefeuille Coldcard a durement frappé le sentiment du marché du Bitcoin, brouillant divers indicateurs de référence sur la chaîne et exposant simultanément les lacunes persistantes des systèmes de défense réseau assistés par l'IA.
Le 30 juillet, le fabricant de matériel Coinkite a émis une alerte de risque à ses utilisateurs : les portefeuilles générés par des versions spécifiques du micrologiciel Coldcard présentaient un risque de vol d'actifs, la cause racine étant un dysfonctionnement logiciel rendant l'aléa de la génération de phrases de récupération bien inférieur aux normes de conception.
Galaxy Research indique que cet incident de sécurité a donné lieu à trois vagues d'attaques, ciblant au total 4585 adresses. Le nombre de Bitcoins volés s'élève à 1367,05, pour une valeur d'environ 89 millions de dollars.
Piratage du portefeuille Bitcoin Coldcard (Source : Galaxy Research)
Alex Thorn, responsable mondial de la recherche chez Galaxy, a déclaré que les Bitcoins volés correspondant aux trois vagues d'attaques étaient toujours conservés sur les adresses contrôlées par les attaquants. Mais il a ajouté que des fonds volés, dispersés et de faible montant, avaient déjà été blanchis via des chaînes de dépeçage (peel chains), des services cross-chain et des casinos à l'étranger.
La migration des portefeuilles Coldcard perturbe les signaux baissiers du Bitcoin
Alors que les risques de sécurité continuent de s'aggraver, les utilisateurs potentiellement exposés se sont précipités pour transférer leurs Bitcoins afin d'éviter le vol par les hackers. Bien que Coinkite ait déjà publié un micrologiciel corrigé pour les modèles affectés, les phrases de récupération à haut risque générées précédemment ne peuvent pas être réparées par une mise à jour système. Les utilisateurs doivent créer un nouveau portefeuille et transférer leurs actifs vers une adresse sécurisée.
Cette migration massive de portefeuilles a provoqué une hausse anormale de l'activité sur la chaîne pour les petits détenteurs et les Bitcoins dormants de longue date. Julio Moreno, responsable de la recherche chez CryptoQuant, explique que le 31 juillet, le volume total des transactions dont la production par transaction était inférieure à 1 Bitcoin a atteint 39 600 Bitcoins. Il s'agit de la valeur quotidienne la plus élevée pour cette catégorie de transactions depuis la faillite de FTX en novembre 2022 ; peu après l'effondrement de FTX cette année-là, le volume de transactions similaires était de 39 900 Bitcoins.
Le nombre quotidien d'adresses Bitcoin actives est également passé d'environ 645 000 le 30 juillet à près d'un million le lendemain, atteignant un pic depuis le 10 décembre 2024. Moreno précise que la flambée du nombre d'adresses concernait principalement les adresses d'origine (émettrice), la hausse des adresses de destination étant très limitée, ce qui montre suffisamment que les utilisateurs transféraient des fonds hors de leurs portefeuilles originaux par précaution.
Adresses Bitcoin actives quotidiennes (Source des données : CryptoQuant)
Le volume de dépôts sur les plateformes d'échange pour les transferts inférieurs à 10 Bitcoins par transaction est monté à 7300 Bitcoins, atteignant un nouveau pic depuis le 6 février de la même année. Certains utilisateurs ont temporairement déposé leurs actifs sur des plateformes d'échange pendant la période de transition vers la création d'un nouveau portefeuille sécurisé, bien que ces flux de capitaux incluent également des jetons que des investisseurs prévoyaient de vendre.
Augmentation des dépôts de Bitcoin sur les plateformes d'échange après l'incident Coldcard (Source : CryptoQuant)
L'analyste de CryptoQuant, JA Maartunn, ajoute qu'après la révélation de la vulnérabilité, 77 402 Bitcoins détenus de longue date sans mouvement ont été transférés. Cependant, Maartunn met en garde : il ne faut pas interpréter ce mouvement massif de fonds comme la preuve d'une vente de panique massive par les investisseurs. Compte tenu du contexte de l'événement, l'essence du mouvement des fonds est la sécurisation des portefeuilles par les utilisateurs.
Il déclare : "Le problème de phrase de récupération de Coldcard a poussé les utilisateurs à transférer leurs Bitcoins détenus de longue date pour sécuriser leurs actifs. Cela va perturber la précision de diverses données graphiques telles que les changements de l'offre des détenteurs à long terme, la destruction des jours-pièces (coin days destroyed), ou la distribution des périodes de dépense des sorties (Spent Output Age Bands)."
Avec la forte augmentation de l'activité des transactions sur la chaîne, le sentiment général du marché s'est fortement dégradé. L'organisme d'analyse blockchain Santiment note que le ratio entre les commentaires haussiers et baissiers sur le Bitcoin à l'échelle du réseau est tombé à son niveau le plus bas depuis que la plateforme a commencé le suivi moderne des données sociales. Sur les plateformes X, Reddit, Telegram, etc., seulement 0,58 commentaire haussier correspond à chaque commentaire baissier.
Le sentiment du marché Bitcoin devient baissier (Source : Santiment)
Santiment estime que la réaction si violente du marché trouve sa racine dans le fait que cette attaque par vulnérabilité ciblait les portefeuilles de stockage à froid (cold wallets). La majorité des détenteurs considèrent les portefeuilles froids comme la dernière ligne de défense sécurisée pour leurs actifs Bitcoin après les avoir retirés des plateformes d'échange et éloignés des plateformes cryptographiques à haut risque.
Les règles américaines de contrôle de l'IA augmentent la difficulté de l'enquête sur l'affaire Coldcard
Ces transferts de portefeuilles qui perturbent les signaux du marché Bitcoin rendent également la traçabilité des fonds volés plus urgente que jamais, nécessitant de verrouiller les flux avant que les fonds n'entrent dans des plateformes convertibles et retirables.
Galaxy Research a compilé les informations rapportées par les victimes, identifié un certain nombre d'adresses suspectes appartenant aux pirates, et partagé les documents avec les autorités, les organismes de conformité et d'autres enquêteurs en cybersécurité. Thorn révèle que les institutions ont signalé environ 600 adresses suspectes abritant potentiellement des Bitcoins volés.
Cependant, il indique que les garde-fous de sécurité mis en place par les principaux grands modèles américains ont entravé le traçage des actifs volés et les efforts de protection des utilisateurs, obligeant l'équipe d'enquête à utiliser un modèle d'IA open-source chinois à la place. Thorn n'a pas précisé quels modèles d'IA américains étaient concernés, ni quelles requêtes avaient été bloquées, et n'a pas détaillé l'aide apportée par ce modèle de remplacement. Néanmoins, le dilemme qu'il soulève est très similaire aux difficultés rencontrées par Hugging Face lors d'une cyberattaque précédente.
Cette plateforme d'IA a rapporté qu'un programme automatisé avait compromis une partie de son infrastructure, et que l'équipe de sécurité devait analyser plus de 17 000 journaux d'événements. Initialement, les enquêteurs ont utilisé des interfaces commerciales pour interroger les principaux grands modèles de pointe, en téléchargeant des journaux liés aux commandes d'attaque, aux charges utiles d'exploitation de vulnérabilités et au command & control pour analyse.
Hugging Face a déclaré que toutes ces requêtes avaient été bloquées par le système. La raison était que le système de sécurité de l'IA ne pouvait pas distinguer les enquêteurs menant une réponse d'urgence des véritables attaquants. Finalement, l'équipe a choisi d'utiliser le modèle à poids open-source GLM 5.2, développé par Zhipu AI, et a effectué toute l'analyse médico-légale sur ses propres serveurs.
Ce modèle a aidé le personnel à reconstituer la chronologie complète de l'attaque, à localiser les identifiants divulgués, à extraire les caractéristiques de l'intrusion et à distinguer les traces d'attaque réelles des leurres. Hugging Face a affirmé que le travail médico-légal, qui aurait pris plusieurs jours, avait été réduit à quelques heures grâce à l'assistance de l'IA.
Ce cas confirme le déséquilibre signalé par Thorn entre l'IA offensive et défensive dans l'affaire Coldcard : les pirates peuvent utiliser des outils d'IA sans restriction et modifiables à volonté, non contraints par les règles de sécurité des modèles commerciaux ; tandis que la partie défensive, en soumettant des documents contenant des caractéristiques malveillantes pour l'examen d'une affaire, se voit souvent refuser l'accès par l'IA, même si l'intention est de contenir un incident de sécurité majeur.
Cependant, supprimer largement les restrictions de sécurité de l'IA créerait de nouveaux risques. Les fournisseurs de services d'IA ne peuvent pas simplement accorder des autorisations basées sur la déclaration verbale d'un utilisateur disant enquêter sur un vol de cryptomonnaies. Ces outils sans restriction pourraient également être détournés pour des activités illégales telles que des attaques de portefeuilles, du blanchiment d'argent ou le contournement de la réglementation des transactions.
Dans le domaine de la cryptographie, cette contradiction est particulièrement aiguë : les actifs volés peuvent être déplacés en quelques minutes via des ponts cross-chain, des plateformes d'échange et des sites de paris. Tout retard dans l'enquête permet aux fonds de passer sur des plateformes permettant des retraits libres avant même que les victimes n'obtiennent un récépissé de plainte ou que les enquêteurs n'aient terminé la traçabilité manuelle, perdant ainsi toute possibilité de gel.
