Faille BTCPay Server : des portefeuilles Lightning vidés en plein scandale Coldcard

L'infrastructure de Bitcoin est ébranlée cette semaine par une double crise de sécurité : l'exploitation d'une faille dans les portefeuilles physiques Coldcard a dépassé 111 millions de dollars de fonds volés confirmés, tandis qu'une vulnérabilité critique distincte dans BTCPay Server a permis à des piratages de vider les nœuds Lightning de plusieurs commerçants.

Les pertes liées à Coldcard s'accumulent

Galaxy Research a déclaré vendredi qu'au moins 111 millions de dollars en Bitcoins avaient été confirmés volés sur des portefeuilles Coldcard, les pertes totales dépassant probablement 130 millions de dollars à mesure que les investigations se poursuivent. L'analyse de 250 signalements de victimes montre une perte individuelle médiane de 1,022 BTC, les pièces volées étant restées intouchées pendant une médiane de 3,5 ans. Une victime a perdu près de 59 BTC.bitcoinmagazine

L'exploit provient d'un bug de micrologiciel sur les appareils Coldcard Mk3, introduit avec la version 4.0.1 en mars 2021, qui entraînait la génération de la phrase de récupération à partir d'un générateur de nombres pseudo-aléatoires logiciel faible, au lieu du véritable générateur aléatoire matériel. Le fabricant Coinkite soupçonne les attaquants d'avoir utilisé l'IA pour découvrir cette faille dans le code public. La première vague du 30 juillet a siphonné 594,5 BTC, soit environ 70 millions de dollars, en seulement 41 minutes à travers quatre blocs consécutifs.cointribune+3

Cette brèche a provoqué des mouvements sur près d'un million d'adresses Bitcoin le 31 juillet, une hausse de 54 % par rapport à la moyenne mensuelle, les détendeurs s'empressant de transférer leurs fonds vers d'autres solutions de stockage.cointribune

Une faille BTCPay Server frappe les nœuds Lightning

Lors d'un incident distinct révélé en fin de journée le 6 août, des attaquants ont exploité une faille critique dans BTCPay Server pour voler les identifiants de nœuds Lightning utilisant le logiciel LND. La vulnérabilité permettait à des attaquants distants non authentifiés d'obtenir des fichiers « macaroon », des identifiants accordant le contrôle total des nœuds LND, leur permettant de fermer des canaux de paiement et de transférer des fonds.investing+2

Le fabricant de portefeuilles physiques Foundation a confirmé que son nœud Lightning BTCPay avait été vidé, bien que son portefeuille chaud sur la chaîne n'ait pas été atteint. La publication Bitcoin Citadel21 a également signalé avoir perdu des fonds. BTCPay a exhorté tous les utilisateurs à effectuer immédiatement la mise à jour vers la version 2.4.2 ou à mettre leurs serveurs hors ligne.x+3

« Ce n'est pas un exercice », a écrit Francis Pouliot, PDG de Bull Bitcoin. « Informez tous ceux que vous connaissez qui utilisent BTCPay de l'éteindre immédiatement ».forbes

Réponse sécuritaire portée par l'IA et impact sur le marché

Un groupe de bénévoles nommé Bitcoin Red Team mène un audit de sécurité assisté par l'IA dans l'écosystème Bitcoin, ayant scanné 425 projets en 55 heures et répertorié 6 700 observations, dont 1 029 classées comme élevées ou critiques. Cet effort aurait coûté entre 10 000 et 20 000 dollars, en utilisant notamment les modèles Kimi K3 et OpenAI Cyber Harness. Cependant, la proportion de ces observations correspondant à des vulnérabilités confirmées reste floue, les taux de faux positifs et les résultats des correctifs n'ayant pas été publiés.cryptorank

Le PDG de Blockaid, Ido Ben-Natan, a déclaré à The Block que la faille de Coldcard met en lumière le « péché originel » des cryptomonnaies : la dépendance aux clés privées comme point de défaillance unique. « Très bientôt, tout le monde aura l'un des meilleurs pirates informatiques de la planète au bout des doigts », a-t-il averti, décrivant les cryptomonnaies comme le canari dans la mine de charbon face aux menaces de cybersécurité pilotées par l'IA.theblock

Malgré ces turbulences, le cours du Bitcoin est resté résilient, s'échangeant aux alentours de 65 000 dollars alors que les investisseurs ont continué d'acheter via des fonds négociés en bourse.investing+1