MARA Holdings — une société cotée au Nasdaq spécialisée dans le minage de Bitcoin et fournissant des infrastructures d'intelligence artificielle (IA), anciennement connue sous le nom de Marathon Digital — a créé le service Slipstream pour permettre aux utilisateurs d'envoyer des transactions Bitcoin directement dans son pool minier plutôt que de les diffuser sur le réseau public.
La plupart des transactions Bitcoin passent par une « salle d'attente » commune appelée le mempool, où chaque nœud du réseau peut voir une transaction avant qu'elle ne soit confirmée dans un bloc. Slipstream contourne cette « salle d'attente ». Un utilisateur envoie une transaction signée directement à MARA, et celle-ci reste cachée jusqu'à ce que MARA extraie un bloc contenant cette transaction.
Le 3 août 2026, la Fondation MARA a publié une mise à jour sur X :
« MARA Slipstream est désormais disponible en tant que ressource publique sans restrictions d'accès et sans nécessiter de code client. Veuillez être prudent et conservateur dans le choix des frais pour éviter que les transactions ne restent bloquées dans le mempool de Slipstream en cas de pic soudain des frais concurrents. Pour un avenir prévisible, nous ne facturons aucun frais supplémentaire pour ce service, mais les utilisateurs sont responsables du paiement des frais de transaction Bitcoin appropriés. »
Ce dernier point est important. MARA ne facture pas de majoration propre. Les utilisateurs paient toujours les frais standards du réseau Bitcoin, ils envoient simplement la transaction via un canal privé au lieu d'un canal public.
Une vulnérabilité de portefeuille matériel dicte le calendrier
Le choix du timing n'est pas un hasard. Fin juillet, des chercheurs ont divulgué une faille grave dans les portefeuilles matériels Coldcard, liée à un bogue dans le code du firmware, introduit dès mars 2021. Au lieu d'utiliser des nombres aléatoires générés par le générateur matériel dédié de l'appareil, les modèles vulnérables de Coldcard, lors de la création d'une phrase de récupération de portefeuille de 24 mots, basculait vers un processus logiciel moins sécurisé. Cette erreur a réduit le degré effectif d'aléatoire d'une valeur attendue de 128 bits à environ 40 bits pour les anciens modèles et à 72 bits pour les nouveaux modèles. Moins de combinaisons possibles signifie qu'un attaquant disposant de suffisamment de puissance de calcul pourrait deviner la phrase de récupération et déverrouiller le portefeuille.
Les pirates se sont rués pour vider les portefeuilles vulnérables
Les attaquants ont agi rapidement. Selon les premières estimations, environ 594 $BTC ont été volés sur quelque 500 adresses, ce qui représentait à l'époque près de 38 millions de dollars. Selon des estimations ultérieures, le montant total s'est rapproché de 70 à 88 millions de dollars, à mesure que de nouveaux cas de portefeuilles piratés étaient découverts. Au 4 août, on estime que les pirates ont dérobé environ 1 816 $BTC, d'une valeur d'environ 116 millions de dollars, provenant de plus de 5 200 portefeuilles différents.
Un correctif du firmware empêche cette vulnérabilité d'apparaître dans les nouveaux portefeuilles, mais n'aide pas pour les phrases de récupération déjà générées à partir du code vulnérable. Toute personne ayant configuré un Coldcard pendant la période concernée doit transférer ses pièces vers un nouveau portefeuille.
Le transfert public de fonds crée son propre piège
Pour les utilisateurs ayant des configurations à signature multiple — courantes parmi les propriétaires de Coldcard qui partagent le contrôle des fonds entre plusieurs appareils — le processus de transfert lui-même comporte un risque. La diffusion publique d'une transaction révèle les clés du portefeuille et les conditions de dépense. Un attaquant, détenant déjà la clé privée vulnérable correspondante, pourrait détecter cette transaction, créer une transaction concurrente avec des frais plus élevés et utiliser une fonctionnalité du réseau Bitcoin appelée « Replace-by-Fee » (RBF) pour passer devant et voler les fonds avant que la transaction originale ne soit confirmée.
La fonction Slipstream de MARA élimine cette fenêtre de vulnérabilité. Comme la transaction n'entre jamais dans le mempool public, l'attaquant ne voit ni les clés ni les détails des dépenses avant que MARA n'ait miné les pièces dans un bloc confirmé.
Slipstream est arrivé deux ans avant la crise
MARA a initialement lancé Slipstream le 22 février 2024 dans le but d'aider aux transactions importantes ou inhabituelles que de nombreux nœuds Bitcoin refusaient de relayer selon leur politique standard. Le PDG Fred Thiel l'avait alors décrit comme un moyen de mettre l'infrastructure minière de MARA au service des utilisateurs avancés de Bitcoin, tout en restant dans les règles du protocole. Auparavant, un code client était requis pour y accéder pendant les périodes de forte demande ou de maintenance. Cette exigence est désormais levée.
Les utilisateurs assument toujours le risque de confiance et le risque temporel
Slipstream dépend toujours de la découverte de blocs par MARA. Une transaction reste dans la file d'attente privée de MARA jusqu'à ce que le pool extraie un bloc, donc le timing dépend entièrement de la part de hachage de MARA dans le hashrate total de Bitcoin.
Au moment de la publication, le pool MARA contrôle plus de 5 % de la puissance de hachage totale qui sécurise le réseau Bitcoin. MARA recommande aux utilisateurs de fixer des frais compétitifs mais non excessifs, car une transaction coincée dans la file d'attente privée lors d'un pic de frais pourrait rester en attente un certain temps avant d'être confirmée.
Quel avenir pour les détenteurs de Coldcard ?
La communauté Bitcoin au sens large considère la réouverture de Slipstream en mode ouvert comme un outil pratique pour traverser la crise de sécurité, et non comme un changement permanent de la façon dont la plupart des transactions doivent être effectuées. Pour les transferts quotidiens, le mempool public reste le canal standard. Cependant, pour les utilisateurs de Coldcard qui détiennent encore des pièces sur des graines compromises, les chercheurs en sécurité et les développeurs de portefeuilles pointent Slipstream comme l'un des moyens les plus sûrs de transférer des fonds, sans permettre aux attaquants d'en être informés à l'avance.
Suivez les estimations mises à jour des pertes au fur et à mesure que de nouvelles adresses compromises sont révélées, des conseils supplémentaires de Coldcard sur les versions de firmware et les plages de numéros de série concernées, et voyez si d'autres mineurs suivront l'exemple de MARA et proposeront un canal privé similaire pour l'envoi de transactions.
end-content
