Ces nouveaux développements surviennent seulement quelques jours après que Coinkite a signalé qu'une vulnérabilité longtemps non détectée dans le micrologiciel avait permis à des acteurs malveillants de reconstituer des graines de portefeuille générées avec une faible entropie et de vider systématiquement les portefeuilles vulnérables utilisant une signature unique. Selon les statistiques compilées par le tableau de bord de surveillance Coldcard Sweep Watch, le montant total des pertes s'élève désormais à environ 1 359,8820 $BTC, la majeure partie des pièces identifiées restant toujours sur plusieurs adresses contrôlées par le malfaiteur.
OP_RETURN transforme la blockchain Bitcoin en un tableau d'affichage public
Le 1er août, une transaction inhabituelle contenant un message OP_RETURN est arrivée sur l'une des adresses de conservation du pirate. OP_RETURN est un type de sortie spécial dans une transaction Bitcoin qui stocke du texte de manière permanente sur la blockchain, sans transférer de fonds dépensables.
Le message faisait ouvertement la promotion de services de "blanchiment" de bitcoins, d'assistance pour passer les vérifications "Connaissez votre client" (KYC) et d'encaissement de pièces volées en échange d'une commission de 10%, tout en fournissant un contact Telegram. Ce n'était pas un message technique ou un appel aux victimes. Au contraire, cela ressemblait à une proposition directe adressée à celui qui contrôle les bitcoins volés. Certains spéculent qu'il pourrait s'agir des forces de l'ordre ou de quelqu'un tendant un piège.
Suite à l'attaque, la majeure partie des bitcoins volés reste exposée
Bien que plus de 1 300 $BTC aient été dérobés lors du vol, les chercheurs de la blockchain ont remarqué que la majeure partie des bitcoins restait pratiquement intacte. Le malfaiteur a concentré les fonds sur un nombre relativement restreint d'adresses après avoir vidé les portefeuilles vulnérables lors de plusieurs attaques coordonnées commençant le 30 juillet.
Cette visibilité est devenue l'un des aspects les plus insolites de cette affaire. Le registre transparent du Bitcoin permet à quiconque de suivre les adresses contenant de gros montants, ce qui signifie que les victimes, les enquêteurs, les chercheurs et même les spéculateurs peuvent observer en temps réel l'évolution des mêmes transactions. Les messages OP_RETURN démontrent que la blockchain peut également fonctionner comme un système permanent de messages publics lors d'incidents majeurs.
Plusieurs projets piratés par le passé ont utilisé les messages OP_RETURN pour discuter de récompenses et de revendications avec les pirates.
La mise à jour d'urgence du micrologiciel crée de nouveaux problèmes
Alors que les utilisateurs se précipitaient pour sécuriser leurs fonds restants, un autre problème est apparu.
Coinkite a publié des mises à jour d'urgence du micrologiciel visant à corriger l'algorithme faible de génération de nombres aléatoires à l'origine de la vulnérabilité initiale. L'entreprise a clairement indiqué que le nouveau micrologiciel ne protège que les portefeuilles créés à l'avenir et ne corrige pas les graines déjà générées dans les versions vulnérables.
Peu après la publication, les utilisateurs ont commencé à signaler qu'après l'installation de la mise à jour, certains appareils se bloquaient sur des écrans d'erreur, ne démarraient pas ou semblaient complètement hors service. Les signalements concernaient principalement les appareils Mk4 et Q, bien que certains utilisateurs de Mk3 aient également décrit des problèmes similaires. Au 2 août, Coinkite n'avait pas publiquement confirmé l'existence d'un défaut répandu du micrologiciel, mais plusieurs rapports d'utilisateurs ont suscité une inquiétude croissante au sein de la communauté Bitcoin.
Les experts en sécurité exhortent les utilisateurs à transférer d'abord leurs fonds
L'un des avertissements les plus insistants circulant parmi les partisans expérimentés de la sécurité Bitcoin est que les propriétaires de portefeuilles potentiellement vulnérables devraient, si possible, déplacer leurs fonds avant de mettre à jour le micrologiciel.
Cette recommandation reflète une limitation importante du correctif d'urgence. La mise à jour logicielle ne peut pas renforcer une graine faible qui a été créée il y a plusieurs années. Si le portefeuille d'origine a été généré avec une insuffisance d'aléa, la seule solution à long terme est de transférer les fonds vers un tout nouveau portefeuille créé avec une entropie élevée.
Pour de nombreux utilisateurs, les copies de sauvegarde vérifiées des phrases de récupération sont devenues ce qui sépare une panne matérielle d'une perte irrémédiable de fonds, car un appareil défectueux peut souvent être remplacé, et la phrase de récupération permet de restaurer l'accès aux fonds.
La confiance est mise à l'épreuve la plus sévère
L'incident en cours avec Coldcard a dépassé le cadre d'une simple vulnérabilité de micrologiciel pour devenir un test plus large de la confiance accordée à la sécurité des portefeuilles matériels. La combinaison d'une erreur historique liée à l'entropie, d'un appel public au blanchiment intégré directement dans la blockchain Bitcoin, et des rapports selon lesquels les mises à jour d'urgence pourraient mettre hors service certains appareils, a intensifié le débat sur la conception des portefeuilles, la génération de phrases de récupération et les pratiques de stockage autonome à long terme.
Alors que la surveillance des adresses connues du malfaiteur se poursuit, les utilisateurs surveillent maintenant avec autant d'attention deux événements : si les bitcoins volés finiront par être déplacés, et si Coinkite publiera des conseils supplémentaires pour les clients confrontés à des dysfonctionnements du micrologiciel.
