Incident Coldcard : Une Réflexion sur la Sécurité des Portefeuilles Matériels
L’incident concernant Coldcard ne constitue pas un piratage au sens traditionnel du terme. Il n’y a eu ni effraction, ni phishing, ni vol de phrases de récupération sur un post-it. Pendant cinq ans, les appareils Coldcard ont généré des clés privées vulnérables, et un attaquant a réussi à les deviner. Cette distinction est cruciale car elle remet en question les fondements de l’argument en faveur de l’auto-garde.
La philosophie des portefeuilles matériels repose sur un principe simple : vos clés, vos pièces, sans risque de contrepartie. Coldcard était considéré comme la référence en matière de sécurité, étant isolé, open-source, exclusivement dédié au Bitcoin, et approuvé par des chercheurs en sécurité ainsi que par des gardiens institutionnels. Si le portefeuille matériel le plus fiable peut expédier un bug d’entropie pendant cinq ans sans détection, la question n’est plus de savoir si Coldcard a échoué, mais si un portefeuille matériel peut être considéré comme la seule couche de protection pour des avoirs significatifs en Bitcoin.
Vagues d’Attaques et Réactions du Marché
La première vague d’attaques a eu lieu à 2h14 UTC le 30 juillet, lorsqu’une seule entité a transféré 594 BTC depuis environ 500 portefeuilles en seulement 25 minutes. La deuxième vague a suivi le 1er août, drainant 284,4 BTC de 2 889 adresses. La troisième vague a eu lieu plus tard dans la journée, avec 207,73 BTC transférés à travers un autre groupe d’adresses. La quatrième vague est survenue le 3 août, avec Alex Thorn de Galaxy Research identifiant 448,7 BTC se déplaçant depuis 709 adresses de victimes présumées. L’estimation totale s’élève à environ 1 816 BTC à travers 5 294 adresses.
Galaxy a mesuré 13,8 transferts par bloc pendant les vagues actives, soit environ 45 fois le taux normal.
Coinkite, le fabricant basé à Toronto, a retracé le problème à un changement de firmware de mars 2021. Un garde préprocesseur était censé sélectionner le générateur de nombres aléatoires matériel lors de la création de la clé, mais il vérifiait seulement si un paramètre de configuration était défini, sans s’assurer de sa valeur correcte. Le système a donc sélectionné un fallback déterministe de MicroPython à la place.
Conséquences et Réflexions sur l’Auto-Garde
Un détail critique à noter : mettre à jour le firmware ne répare pas une clé existante. Chaque propriétaire de Coldcard ayant généré une clé sur un firmware affecté doit créer une nouvelle clé sur un matériel corrigé et migrer ses fonds. Après l’effondrement de FTX en novembre 2022, la communauté Bitcoin a connu un changement de philosophie de garde significatif. La phrase « pas vos clés, pas vos pièces » est devenue un conseil opérationnel plutôt qu’un simple slogan.
Les entreprises qui détiennent des Bitcoins par le biais de la garde institutionnelle bénéficient directement de ce changement de récit. Strategy, le plus grand détenteur d’entreprise avec plus de 550 000 BTC, utilise des gardiens institutionnels tels que Coinbase Custody et Fidelity Digital Assets. Ces gardiens emploient des arrangements multi-signatures, des modules de sécurité matériels et une distribution géographique qui ne dépendent pas de la qualité d’entropie d’un seul dispositif.
Le Vide d’Assurance et l’Avenir de l’Auto-Garde
L’incident de Coldcard a mis en lumière un vide d’assurance que l’industrie n’a pas encore abordé. Les échanges et gardiens réglementés portent une assurance contre le vol, l’échec opérationnel, et dans certains cas, la compromission de portefeuilles chauds. L’auto-garde n’a pas d’équivalent. Si un portefeuille matériel génère une clé faible et qu’un attaquant draine les fonds, l’utilisateur n’a pas de recours d’assurance.
La philosophie de l’auto-garde survivra à l’incident de Coldcard. Les arrangements multi-signatures qui ne dépendent d’aucun dispositif unique, les portefeuilles matériels de fabricants avec des bases de code différentes, et les pratiques de stockage à froid qui incorporent des lancers de dés pour l’entropie restent des approches valides. Cependant, l’auto-garde pour des avoirs significatifs nécessite désormais soit des configurations multi-signatures, soit plusieurs fournisseurs matériels, soit des sources d’entropie externes, soit des audits de sécurité réguliers.
Conclusion
Galaxy Research estime qu’environ 1 816 BTC ont été affectés par quatre vagues d’attaques coordonnées touchant 5 294 adresses depuis le 30 juillet. L’incident démontre que des bugs d’entropie au niveau du firmware peuvent persister sans être détectés pendant des années dans n’importe quelle base de code open-source. L’auto-garde reste viable avec des pratiques appropriées, mais l’auto-garde à un seul dispositif et à une seule signature pour des avoirs significatifs comporte désormais un risque documenté.
Avertissement : Cet article est à des fins d’information uniquement et ne constitue pas un conseil financier, d’investissement ou juridique.
