Faille Coldcard : 70 M$ de Bitcoin volés en 41 minutes

Le 30 juillet, entre 1 h 10 et 1 h 51 du matin (heure UTC), un inconnu a vidé 1 196 portefeuilles Bitcoin. Butin : 1 082,65 bitcoins, environ 70 millions de dollars. Durée de l'opération : 41 minutes. Aucun de ces portefeuilles n'a été touché physiquement.

Les victimes utilisaient un Coldcard, l'un des coffres-forts numériques les plus réputés de l'écosystème Bitcoin. Un petit boîtier hors ligne, fabriqué par la société canadienne Coinkite, censé garder vos clés là où aucun pirate ne peut les atteindre. Le problème, cette fois, était à l'intérieur du coffre.

Un bug enfoui dans le logiciel interne de l'appareil depuis mars 2021 a rendu certaines phrases secrètes devinables de l'extérieur. Nul besoin de voler l'appareil ou de piéger son propriétaire : la faille suffisait, et elle a dormi cinq ans.

Dans cet article :

• Le coffre-fort qui fabriquait ses propres clés bancales
• Le hold-up à distance : comment vider un portefeuille sans le toucher
• Êtes-vous concerné ? Le détail qui change tout
• La stratégie Posthumain

Le coffre-fort qui fabriquait ses propres clés bancales

Pour comprendre le désastre, il faut comprendre la phrase secrète (le « seed », cette suite de 12 ou 24 mots qui contrôle tout votre argent). Elle doit être tirée au hasard dans un ensemble si gigantesque que la deviner est impossible, même pour l'ordinateur le plus puissant du monde.

Ce hasard se mesure en bits d'entropie (une unité qui compte le nombre de combinaisons possibles). La norme du secteur vise 128 bits, un nombre à 39 chiffres de possibilités. Coldcard était censé atteindre cette cible. Il ne le faisait pas.

Un changement de code introduit le 1er mars 2021 a fait basculer la génération de la clé vers un générateur logiciel de secours, au lieu de la puce de vrai hasard matériel prévue pour ça [1]. Ce générateur de secours partait toujours des mêmes données fixes de l'appareil, sans jamais collecter de nouveau hasard.

Résultat chiffré par Coinkite : sur les modèles Mk3, l'entropie réelle est tombée à environ 40 bits au lieu de 128 [2]. Sur les modèles plus récents (Mk4, Mk5 et le modèle Q), elle plafonnait à environ 72 bits. Toujours très loin du compte.

L'écart entre 128 et 40 bits n'a rien d'une nuance : il sépare une serrure qu'aucune machine ne cassera jamais d'un cadenas à quatre chiffres qu'un ordinateur portable ouvre à la chaîne. Le « coffre-fort » distribuait des clés que l'on pouvait énumérer une par une.

Détail cruel : la cause racine tient dans une bévue minuscule. Le code demandait bien d'activer la puce de hasard matérielle, mais la bibliothèque qui gérait ce réglage vérifiait seulement si l'option existait, pas si elle était réellement activée [3]. Un test mal posé, cinq ans de portefeuilles fragilisés.

Le hold-up à distance : comment vider un portefeuille sans le toucher

C'est là que l'affaire devient glaçante. Le pirate n'a jamais eu besoin de voir un seul appareil. Il a généré des clés candidates sur sa propre machine, calculé les adresses Bitcoin que chacune produirait, puis comparé ces adresses aux données publiques de la blockchain (le registre ouvert où toutes les transactions sont visibles) [4].

Quand une adresse candidate correspondait à un portefeuille réellement rempli, il n'avait plus qu'à signer le transfert. Le Coldcard de la victime pouvait être éteint dans un coffre, à l'autre bout du monde. Cela ne changeait rien.

Un Canadien, Jonathan Goodman, a raconté publiquement avoir perdu l'équivalent d'environ 1,6 million de dollars. Son appareil était rangé dans un coffre de banque et n'avait, selon lui, jamais été connecté à Internet. La logique du hors ligne, censée le protéger, n'a servi à rien ici.

Le plus troublant reste le nerf de l'attaque. Coinkite pense qu'une intelligence artificielle a servi à repérer la faille dans son code source ouvert, et précise que son propre audit du même code par une IA, quelques semaines plus tôt, n'avait rien trouvé [5]. La même arme des deux côtés, un seul camp l'a bien utilisée.

On est ici dans une famille de bugs qui revient régulièrement en cryptomonnaie : un vrai hasard cryptographique remplacé par quelque chose de plus faible, et personne ne le remarque avant que l'argent ne bouge. Le cas de l'agent IA qui a mené seul une cyberattaque contre un ministère montrait déjà cette bascule : la compétence rare de l'attaquant devient un logiciel qui tourne tout seul.

Êtes-vous concerné ? Le détail qui change tout

Première chose à savoir : le risque ne tient pas à la date d'achat de l'appareil. Il dépend du firmware qui tournait (son logiciel interne) au moment exact où le portefeuille a été créé [1]. Un boîtier acheté récemment mais initialisé sur une vieille version reste exposé.

Selon l'avis de Coinkite, sont concernés : les Mk2 et Mk3 sur firmware 4.0.0 à 4.1.9, les Mk4 et Mk5 avant la version 5.6.0, et les modèles Q avant la 1.5.0Q. Tous les portefeuilles vidés étaient à signature unique (une seule clé suffit à dépenser) et créés après mars 2021.

Il existe une porte de sortie, et elle est nette. Coinkite affirme qu'une phrase secrète construite avec au moins 50 jets de dés équitables et privés, ou protégée par un mot de passe supplémentaire solide (le « passphrase », un 25e mot choisi par l'utilisateur), n'est pas menacée par ce bug seul [6]. Ce hasard ajouté à la main, l'attaquant ne peut pas le reconstruire.

Le vol n'a pas non plus été un incident isolé qui s'est refermé. Parti d'environ 38 millions de dollars sur 500 adresses lors de la première alerte, le total est monté à 70 millions le 30 juillet, puis à près de 89 millions de dollars sur trois vagues et 4 585 adresses [7].

Galaxy Research, la société qui a cartographié l'attaque, reste prudente. Ses conclusions reposent sur l'analyse de la blockchain, et elle n'a pas confirmé par le calcul que chaque adresse touchée provenait bien d'un Coldcard à entropie faible. Elle a signalé environ 600 adresses suspectes aux enquêteurs fédéraux. L'affaire est toujours en cours.

La stratégie Posthumain

Ce dossier dépasse la simple mésaventure pour détenteurs de Bitcoin : c'est un cas d'école sur une illusion tenace, croire qu'un objet « hors ligne » et vendu comme sûr est, de fait, à l'abri. La question qui compte a changé : moins « ai-je un bon appareil ? » que « que dois-je vérifier, et dans quel ordre ? ».

Si vous détenez un Coldcard

La règle d'or tient en une phrase, martelée par les experts et par le fabricant lui-même : mettre à jour le firmware ne répare pas une phrase secrète déjà créée [8]. Les clés fabriquées sous le code défectueux restent faibles, même sur un appareil désormais corrigé.

La seule parade durable consiste donc à générer une phrase secrète entièrement neuve sur un firmware corrigé, puis à déplacer les fonds vers ces nouvelles adresses.

Mais la manœuvre cache un piège technique redoutable, surtout pour les configurations dites multisignatures (plusieurs clés requises pour dépenser), et l'ordre des gestes n'est pas anodin : mal exécuté, le transfert peut ouvrir la porte au voleur au lieu de la fermer. Que faire exactement, et dans quel ordre ?