Une vulnérabilité du portefeuille matériel Coldcard a entraîné la perte de bitcoins ($BTC) chez des détenteurs à long terme à cause d'un bug dans le firmware, découvert dès mars 2021. Les pertes ont dépassé 116 millions de dollars : plus de 1 800 $BTC ont été volés sur plus de 5 200 adresses.
Cet incident a servi de déclencheur à la création d'une initiative bénévole appelée « Bitcoin Red Team », dirigée par le développeur $BTC Calle en collaboration avec Rob Hamilton, PDG de la société d'assurance Anchorwatch, spécialisée dans l'assurance de l'auto-conservation (self-custody). Ils ont mené un audit d'urgence de l'écosystème plus large du bitcoin open-source pour vérifier si d'autres portefeuilles et bibliothèques de code largement utilisés ne présentaient pas des vulnérabilités similaires à celles ayant causé la perte des fonds des utilisateurs de Coldcard.
Seize chercheurs en sécurité ont consacré 27,5 heures à une analyse minutieuse de 390 dépôts open-source liés au bitcoin, combinant une analyse par intelligence artificielle (IA) avec une vérification manuelle. L'équipe a relevé un total de 4 962 vulnérabilités, dont 85 classées comme critiques et 635 comme de haute gravité (en moyenne 2,31 vulnérabilités de gravité haute ou critique par chercheur et par heure).
Le financement de ce sprint a été assuré par Opensats — une organisation à but non lucratif soutenant le développement open-source du bitcoin — qui a alloué près de 40 000 dollars pour soutenir le travail des chercheurs. Calle a qualifié l'état de la sécurité de l'écosystème de « très mauvais ».
Les analystes ayant suivi l'audit en temps réel ont noté que seulement environ un cinquième des vulnérabilités détectées avait été reproduit de manière indépendante à ce jour, ce qui indique que de nombreux problèmes identifiés nécessitent encore confirmation avant que les développeurs puissent déterminer avec certitude leur degré de gravité réel.
Où se concentrent les vulnérabilités
La plus grande concentration de problèmes graves a été trouvée dans les outils de confidentialité et de coinjoin (logiciel conçu pour brouiller les traces des transactions bitcoin sur la blockchain), qui représentaient 24 % des découvertes critiques, bien qu'ils constituent une part moindre du nombre total de projets analysés. Les bibliothèques cryptographiques, en revanche, ont donné le plus grand nombre absolu de problèmes identifiés — 1 101 — mais seulement 10 % d'entre eux environ ont été classés dans la catégorie de haute gravité, ce qui suggère que le code est globalement plus mature, malgré un examen plus approfondi de la part des chercheurs.
La majorité des 390 projets analysés présentaient peu ou pas de problèmes critiques ; le danger réel semble concentré dans un petit groupe d'outils responsables de la génération de clés privées, de la signature et des transactions préservant la confidentialité — la même catégorie de logiciels qui était au cœur du défaut initial de Coldcard, à l'origine de tout ce travail.
Le moment de la divulgation de ces faits est important, étant donné que la communauté des utilisateurs de bitcoin pratiquant l'auto-conservation (self-custody) tente depuis deux semaines de comprendre l'ampleur des pertes liées à Coldcard, les utilisateurs canadiens représentant à eux seuls environ un quart des fonds volés.
La nécessité d'évaluer les défis futurs
L'équipe Bitcoin Red Team a souligné que cet audit n'est qu'une première étape d'un travail continu, et non un événement ponctuel ; il est prévu de traiter les résultats accumulés, de confirmer quelles vulnérabilités sont réellement exploitables, et de coordonner une divulgation responsable avec les projets concernés avant que tout détail ne soit rendu public.
Pour la communauté partisane de l'auto-conservation, qui réalise encore l'ampleur des pertes liées à Coldcard, cet audit sert à la fois de preuve que les chercheurs « white hat » évoluent maintenant à un rythme proche de celui des acteurs malveillants.
end-content
