Le vol de Bitcoin des portefeuilles matériels Coldcard compromis est toujours en cours, les chercheurs suivant désormais des pertes d'environ 88 millions de dollars et avertissant que chaque appareil vulnérable sera finalement vidé.

Galaxy Research a déclaré samedi avoir identifié une troisième vague de vols, au cours de laquelle 207,73 BTC ont été dérobés, portant son décompte observé à environ 1 367 BTC — soit environ 88,6 millions de dollars — répartis sur 4 585 adresses. La firme a qualifié l'exploit de continu et a exhorté toute personne détenant des fonds à signature unique sur un Coldcard à les transférer immédiatement. Galaxy a indiqué avoir signalé environ 600 adresses d'attaquants présumés aux enquêteurs fédéraux, aux entreprises de conformité et aux enquêteurs cybernétiques intersectoriels, remerciant les victimes qui ont partagé les détails des transactions pour aider à cartographier les modèles on-chain.

« Je continue d'enquêter et d'ajouter de nouvelles adresses de victimes et d'attaquants Coldcard à notre base de données d'enquête », a posté Alex Thorn, responsable de la recherche chez Galaxy, sur X. « L'attaque est en cours — transférez immédiatement vos fonds des adresses générées par Coldcard si vous ne l'avez pas encore fait. »

La faille, comme Decrypt l'a précédemment rapporté, provient d'une erreur de construction du micrologiciel sur les appareils de Coinkite en mars 2021, qui a entraîné la génération de phrases de récupération avec une aléatoire trop faible, rendant les clés privées devinables. Thorn a écrit que les prélèvements semblent délibérés et programmatiques, probablement orchestrés avec un modèle de langage étendu, et a averti que chaque adresse Coldcard à signature unique créée après cette mise à jour de 2021 sera finalement vidée, affirmant que ce n'est qu'une question de temps.

Thorn a noté que les Bitcoins volés étaient restés intacts pendant des années avant d'être subtilisés — une dormance moyenne de 3,18 ans — soulignant que les victimes étaient des détenteurs à long terme. Les fonds des trois vagues documentées restent stationnés dans les adresses des attaquants et n'ont pas bougé.

Les retombées ont provoqué une réaction de panique de la part des utilisateurs affectés, les experts en sécurité appelant à la prudence lors du déplacement de fonds vers de nouvelles adresses. Beaucoup d'utilisateurs concernés se précipitent pour retirer leurs Bitcoins de l'auto-garde et les remettre sur des plateformes d'échange de crypto centralisées, telles que Coinbase ou Binance, ou sur des adresses fraîchement générées — une inversion de l'éthos habituel de l'industrie « pas vos clés, pas vos Bitcoins ».

Pour certains, les avertissements sont arrivés trop tard. L'entraîneur canadien Jonathan Goodman a déclaré dans un post sur X que 18,25 BTC, d'une valeur d'environ 1,6 million de dollars canadiens, avaient été retirés de ses portefeuilles en l'espace de sept minutes le 29 juillet, malgré le fait que ses clés se trouvaient dans un coffre-fort qui n'avait jamais été connecté à internet. « La partie la plus difficile à ce sujet est peut-être que j'ai tout fait correctement », a-t-il écrit, ajoutant qu'il déposait des plaintes auprès de la police et de la Commission des valeurs mobilières de l'Ontario.