Ce chercheur prolifique en blockchain, connu pour avoir dévoilé l'identité des pirates derrière certains des plus gros vols de cryptomonnaies, a écrit sur X qu'il ne prévoyait actuellement pas de suivre ou d'enquêter sur l'incident de Coldcard. Il a noté qu'il se concentrait principalement sur les écosystèmes qui valorisent son travail, ajoutant que les partisans d'une approche « maximaliste » du bitcoin ne sont pas des sponsors ou des soutiens de ses enquêtes, donc il a moins d'obligations à aider.
Cette déclaration est intervenue alors que le piratage de Coldcard entrait dans son cinquième jour et que le montant total des pertes continuait d'augmenter. Auparavant, ZachXBT travaillait bénévolement sur des affaires majeures, et son poste indique une fracture substantielle entre la bienveillance que lui témoigne la communauté bitcoin et les efforts qu'on exige de lui quand quelque chose tourne mal.
L'état d'avancement du piratage de Coldcard
La cause de la vulnérabilité réside dans un défaut du micrologiciel des portefeuilles matériels du fabricant canadien Coinkite. Cette erreur a touché les appareils Coldcard Mk3 avec les versions de micrologiciel de 4.0.1 à 4.1.9, faisant en sorte que certains portefeuilles génèrent l'entropie de la phrase de récupération avec un générateur de nombres aléatoires logiciel au lieu de la puce dédiée de l'appareil – ce défaut rendait certaines phrases de récupération devinables.
La première vague d'attaques a eu lieu le 30 juillet, lorsqu'environ 594 $BTC, d'une valeur d'environ 38 millions de dollars à l'époque, ont été retirés de près de 500 adresses inactives en moins de 30 minutes. Coinkite a publié un micrologiciel corrigé dans les deux jours, mais les pertes ont continué d'augmenter, et au 2 août, Galaxy Research estimait qu'au total, 1 367 $BTC d'une valeur de 88,6 millions de dollars avaient été volés à 4 585 adresses lors de trois vagues d'attaques distinctes.
La rapidité et la précision des vols ont suscité des spéculations selon lesquelles des outils automatisés, peut-être utilisant l'intelligence artificielle, auraient pu aider le malfaiteur à identifier et vider les adresses vulnérables en quelques minutes après chaque attaque. L'ampleur des vols a continué de croître malgré la forte augmentation des dépôts de fonds volés sur les bourses et la reprise des mouvements d'anciens $BTC auparavant inactifs liés à cette affaire.
La conservation des données attise la réaction négative
La façon dont Coinkite a géré les suites de l'incident est devenue un sujet de controverse séparé, étant donné que la société a envoyé des e-mails à toutes les adresses clients qu'elle a pu trouver dans ses bases de données de boutique et de newsletter (certaines datant de 2019) pour les avertir de la vulnérabilité.
Cela contredisait des déclarations antérieures du PDG Rodolfo Novak affirmant que Coinkite supprimait les données clients après 90 jours d'achat et offrait des options d'achat anonymes. Plus tard, Coinkite a reconnu qu'elle conservait indéfiniment les adresses e-mail fournies lors de l'achat et a confirmé l'absence de politique de suppression de ces données – cet aveu a déclenché une vague distincte de critiques, sans rapport avec le piratage lui-même.
Novak a défendu le niveau général de sécurité de l'entreprise, notant que les concurrents sont régulièrement confrontés à des fuites de données et que Coinkite prend cette question extrêmement au sérieux. Néanmoins, cet incident a déjà commencé à saper la confiance dans l'autocustodie des cryptomonnaies et pourrait pousser les investisseurs les plus prudents à revenir vers les fonds négociés en bourse plutôt que de gérer leurs propres clés.
Cette histoire a également évolué en une véritable saga dans la blockchain, dépassant le cadre du simple vol. Une offre effrontée de blanchiment de bitcoins, adressée au pirate, a été publiée directement dans la blockchain Bitcoin, transformant l'affaire en un spectacle public se déroulant en temps réel sur les réseaux sociaux et dans les données de la blockchain.
Alors que des poids lourds comme ZachXBT se tiennent à l'écart, la charge de suivre les 1 367 $BTC volés repose désormais davantage sur des entreprises comme Galaxy Research, qui publie des mises à jour au fur et à mesure de l'évolution de l'activité du portefeuille du malfaiteur. Des rapports ont indiqué que l'erreur d'entropie affectant les appareils Coldcard Mk3 remontait à une compilation du micrologiciel de mars 2021, ce qui signifie que toute phrase de récupération de portefeuille générée dans cette version au cours des quatre dernières années et plus pourrait encore être vulnérable, jusqu'à ce que les propriétaires la remplacent par une nouvelle phrase générée avec le micrologiciel corrigé.
