CZ appelle à diversifier les portefeuilles après le piratage de Coldcard à 70 M$

Le fondateur de Binance, Changpeng Zhao, a exhorté les détenteurs de cryptomonnaies à répartir leurs fonds sur plusieurs portefeuilles après qu'une faille dans le microprogramme des portefeuilles matériels Coldcard a permis à un attaquant de siphonner environ 70 millions de dollars en Bitcoin en l'espace d'une quarantaine de minutes.

"Même les portefeuilles matériels peuvent avoir des bugs. Même les anciens portefeuilles (avec un long historique) peuvent avoir des bugs", a écrit Zhao sur X samedi. "Comment réduire le risque ? Répartir vos fonds sur plusieurs portefeuilles peut-être ? Cela comporte d'autres risques. Rien n'est sûr à 100 %. Restez informés. Restez SAFU !"cryptonews+1

L'attaque

Le vol a débuté le 30 juillet lorsqu'un attaquant a exploité une faille dans la façon dont certains modèles Coldcard généraient leurs clés cryptographiques. Une première analyse sur la chaîne a identifié environ 594 bitcoins, soit près de 38 millions de dollars, siphonnés depuis environ 500 portefeuilles en 25 minutes, selon CoinDesk. Des recherches ultérieures menées par Galaxy Digital ont étendu ce bilan à 1 082 bitcoins, d'une valeur d'environ 70 millions de dollars, dérobés sur 1 196 adresses en environ 41 minutes.coindesk+2

La vulnérabilité remonte à la version 4.0.1 du microprogramme, publiée en mars 2021, qui faisait basculer la génération de la phrase clé vers un générateur logiciel de nombres pseudonymes faible au lieu du générateur de nombres aléatoires matériel. Cela rendait les clés privées des portefeuilles à signature unique suffisamment prévisibles pour qu'un attaquant puisse les reconstruire hors ligne, selon Bitcoin Magazine. Beaucoup des portefeuilles touchés étaient inactifs depuis des années.bitcoinmagazine+1

La réponse de Coinkite

Le fabricant de Coldcard, Coinkite, a d'abord affirmé que la faille ne touchait que les appareils Mk3, avant de reconnaître que tous les modèles étaient vulnérables après l'apparition d'autres vols, selon Forbes. L'entreprise a publié des mises à jour d'urgence et a conseillé aux utilisateurs touchés de générer de toutes nouvelles phrases clés sur des appareils corrigés et de transférer prudemment leurs fonds.forbes

"Mettre à jour le microprogramme ne répare pas une phrase clé générée par une version vulnérable", a écrit Coinkite. "Une nouvelle phrase clé doit être générée et les fonds doivent être transférés vers le nouveau portefeuille."forbes

Les ingénieurs de Block, la société de paiement fondée par Jack Dorsey, ont indiqué avoir découvert que l'attaquant avait vraisemblablement utilisé un compte payant auprès d'un fournisseur de services blockchain pour interroger les adresses cibles pendant les attaques.bitcoinmagazine

Des implications plus larges

Cet épisode a relancé le débat sur les limites de l'auto-garde de cryptomonnaies. Les portefeuilles matériels sont largement considérés comme l'une des options les plus sûres pour sécuriser des actifs numériques hors ligne, mais l'affaire Coldcard montre que même des appareils établis depuis longtemps peuvent héberger des failles indétectées pendant des années. L'appel de Zhao à la diversification prend en compte ce compromis: répartir ses fonds réduit le risque de point de défaillance unique, mais rend la gestion des clés plus complexe.tradersunion+1

La branche de recherche de Galaxy Digital a conseillé aux détenteurs de Bitcoin de retirer leurs fonds des adresses Coldcard à signature unique pour les transférer vers des solutions de garde plus sécurisées.bitcoinmagazine