Comment les portefeuilles froids de bitcoin ont perdu 70 millions de dollars lors d’une attaque qui n’a jamais touché les appareils

Plus de 1 000 bitcoins, d'une valeur d'environ 70 millions de dollars, ont été drainés de 1 196 portefeuilles en 41 minutes le 30 juillet, près de doubler le montant a été rapporté lorsque le vol a été découvert pour la première fois.

Galaxy Research a cartographié l'événement complet sur Vendredi, 1 082,65 BTC ont été balayés entre 01:10 et 01:51 UTC à travers six blocs, avec trois blocs intermédiaires ne contenant rien, ce qui suggère que les transactions ont été diffusées par lots plutôt que de manière continue.

Les fonds se trouvent dans quatre adresses et n'ont pas été déplacés. Les premiers rapports n'avaient capturé qu'une seule de ces adresses, ce qui explique pourquoi le chiffre a augmenté.

L'ampleur de l'attaque est bien plus réduite que celle de certaines des plus grandes attaques de cette année, mais c'est le mécanisme qui la rend inhabituelle — et qui explique pourquoi cette attaque est un événement d'une telle importance.

Pourquoi l’exploitation du portefeuille Coldcard est un enjeu plus important que la plupart des exploits

La plupart des vols de cryptomonnaies impliquent l’accès à un élément. Une plateforme est piratée, un contrat est trompé, une clé est dérobée sur un ordinateur portable par hameçonnage. La défense a toujours été la distance, ce que vend précisément un portefeuille matériel. Conservez la clé sur un appareil qui ne se connecte jamais à internet et, en théorie, il n’y a rien que l’attaquant puisse toucher.

Lorsqu'un portefeuille est créé, l'appareil est censé choisir un nombre si grand et si imprévisible qu'il est impossible de le deviner.

Ce nombre est la graine, et chaque adresse ainsi que chaque clé privée en dérivent selon des règles publiques fixes. Le firmware de Coldcard était censé extraire ce nombre d’un générateur de hasard matériel dédié. Un paramètre de configuration interne indiquait de contourner ce générateur, et une vérification dans une bibliothèque de support testait uniquement la présence de ce paramètre plutôt que son activation effective.

La génération de clés a été remplacée par un substitut logiciel basique, initialisé à partir du numéro de série de la puce et de ses registres d'horloge. Ce numéro de série est une métadonnée fixe d'usine, et les valeurs d'horloge représentent un état temporel qu'un attaquant peut réduire ou mesurer sur un appareil qu'il possède.

La conséquence a été que la plage de clés que l’appareil pouvait produire s’est effondrée, passant d’une immensité inimaginable à un nombre dénombrable. Les équipes de sécurité ont découvert que la génération des clés pouvait être déterminée sur les anciens modèles Mk2 et Mk3 — chiffres correspondant à différents modèles de Coldcard — mais sur les Mk4, Q et Mk5, ils estiment la plage à environ quatre milliards de possibilités.

Quatre milliards est un nombre important pour une personne mais un petit nombre pour un ordinateur. Un attaquant génère des graines candidates sur son propre matériel, dérive les adresses que chacune produirait, et vérifie ces adresses par rapport à la blockchain publique, que tout le monde peut télécharger.

Chaque étape de ce processus s'exécute sur la machine de l'attaquant. L'appareil de la victime n'intervient à aucun moment et pourrait être éteint dans un coffre-fort sur un autre continent.

L'analyse de Galaxy montre que le processus est en cours. Parmi les portefeuilles vidés, 1 183 ont utilisé le format moderne d'adresse native segwit, sept ont utilisé une norme plus ancienne et six une norme encore plus ancienne. Personne ne cible une victime spécifique sur trois formats d'adresses simultanément.

Il s'agit d'une énumération systématique, vérifiant chaque graine candidate contre chaque chemin qu'elle pourrait avoir produit. L'opérateur peut élargir la recherche, la affiner et revenir à tout moment de son choix.

Galaxy a averti que d'autres vagues sont probables si les détenteurs ne déplacent pas leurs fonds.

Il est également impossible pour un propriétaire de déterminer s’il est exposé. Il n’existe aucun test à effectuer sur votre propre portefeuille permettant de révéler si votre seed se trouve dans la plage reproductible.

L'attaque pourrait ne pas être complètement terminée

Coinkite, le fabricant de Coldcard, a averti les propriétaires de Mk3 et affirme que ses appareils plus récents ne sont pas affectés, tandis que le rapport de Block inclut également les modèles Mk2, Mk4, Q et Mk5 dans le périmètre. Tant que ce problème ne sera pas résolu, toute personne ayant généré une seed sur le firmware affecté doit supposer le pire plutôt que de pouvoir le vérifier.

L'attaquant a cependant commis une erreur.

Clay Garrett de Block a déclaré sur X que l'opérateur a utilisé un compte payant auprès d'un « fournisseur de données blockchain bien connu » pour interroger les adresses source lors des balayages, et que les journaux internes du fournisseur correspondaient au flux de travail suspecté avec ce qu'il a qualifié d'extraordinaire spécificité, jusqu'au nombre, au timing et à la séquence des requêtes.

Le fournisseur semble avoir fourni des services ordinaires à des demandes ne donnant aucune indication de leur finalité. Block a transmis les informations aux autorités.

Le stockage à froid promet qu'une clé est impossible à deviner. Chacun l'a interprété comme une promesse qu'une clé est inaccessible, alors que le coût de la découverte et de l'exploitation des failles dans le premier cas ne cesse de diminuer.

Anthropic a publié une recherche mardi montrant qu’un de ses modèles réduisait de moitié la sécurité d’un algorithme candidat post-quantique en 60 heures, contre une conception qui avait résisté à deux ans d’examen par des experts.

Stocker une clé en toute sécurité est désormais la moitié la plus facile du problème.