Les pertes de Bitcoin attribuées à une vulnérabilité de Coldcard atteignent 70 millions de dollars, selon Galaxy Research

Galaxy Research a déclaré vendredi que près de 1 200 adresses ont été vidées de plus de 1 000 BTC, soit environ 70 millions de dollars, lors de transactions qu’ils ont liées à une vulnérabilité affectant les portefeuilles matériels Coldcard.

Jeudi, Coinkite a signalé un problème en cours touchant les seeds générées sur les appareils Coldcard Mk3. « Par mesure de précaution, Coinkite avertit tous les utilisateurs ayant généré une seed avec un Mk3 sous la version 4.0.1 (mars 2021) ou toute version ultérieure que leurs fonds pourraient être en danger », a indiqué le fabricant de matériel crypto.

Coinkite a ensuite étendu cet avertissement pour inclure certaines versions de firmware Mk4, Mk5 et Coldcard Q, et a publié des mises à jour d'urgence du firmware pour tous les modèles concernés.

Novak a également suggéré que la vulnérabilité a pu être découverte grâce à l’intelligence artificielle, qualifiant l’incident de « réalité sobre du nouveau paradigme de l’IA ». Il a averti que la relecture de code assistée par l’IA peut identifier des bogues latents plus rapidement que même des experts en sécurité expérimentés, permettant aux attaquants d’exploiter des faiblesses dans les codes accessibles au public.

Nous avons cartographié le flux de fonds pour la vulnérabilité Coldcard selon le schéma identifié par les ingénieurs de Block et partagé par [Clay Garrett] : 1 196 adresses totalement vidées pour 1 082,65 BTC (~70,2 millions de dollars) entre 01:10:20 et 01:51:26 UTC le 30 juillet. »

« La nature de la vulnérabilité implique que de futures attaques sont possibles sur toute adresse générée par Coldcard et celles-ci n’ont pas besoin de suivre ce schéma », a également déclaré Galaxy Research vendredi. « Le schéma nous montre qu’il s’agissait d’un seul et même attaquant — il ne décrit pas l’attaque elle-même, qui ressemble à un transfert initié par le propriétaire des coins. »

Coinkite a indiqué que les utilisateurs doivent mettre à jour leur firmware et générer une nouvelle seed. Ils doivent également tester le nouveau portefeuille avec une petite transaction avant de transférer l’ensemble de leurs fonds, et conserver l’ancienne sauvegarde jusqu’à la finalisation de la transaction.