Enquête sur les vols de Coldcard
Les enquêteurs auraient fourni aux autorités américaines des informations susceptibles d’identifier un attaquant responsable de la première vague de vols de Coldcards, selon un rapport de Bitcoin Magazine publié le 18 août. Alex Thorn, de Galaxy Research, a déclaré que l’identité de l’attaquant de cette première vague « pourrait être connue des forces de l’ordre ». Sa déclaration était prudente, et le FBI n’a pas confirmé publiquement l’identification d’un suspect, l’ouverture d’une enquête, l’arrestation ou la récupération de Bitcoin volé.
Détails de la première vague de vols
La première vague a entraîné le retrait de 1 082,65 BTC de portefeuilles générés à l’aide d’un firmware Coldcard vulnérable. Au prix récent du Bitcoin, proche de 64 000 $, ces pièces vaudraient environ 69 millions de dollars, et non 11,8 millions de dollars comme mentionné précédemment. Clay Garrett, responsable de l’ingénierie chez Block, a indiqué que les enquêteurs avaient détecté un schéma inhabituel dans les opérations on-chain de l’attaquant.
Ce dernier aurait utilisé un compte payant auprès d’un fournisseur de données blockchain non nommé pour interroger les adresses sources et effectuer des activités connexes. Le voleur de la première vague pourrait être identifié par le FBI grâce au fournisseur contacté, dont les journaux internes auraient apparemment fait correspondre le nombre, le timing et la séquence des demandes suspectes avec « une spécificité extraordinaire ».
Garrett a précisé que Block avait transmis les informations pertinentes aux autorités compétentes.
Le compte pourrait contenir des enregistrements de paiement, d’accès ou d’abonnement. Cependant, aucune preuve publique n’établit quels enregistrements ont été conservés, qui contrôlait le compte ou si le service avait reçu des informations d’identification précises. Block a également déclaré qu’il n’avait trouvé aucune preuve que le fournisseur avait sciemment aidé au vol.
État actuel de l’enquête
Le rapport de Bitcoin Magazine a lié cette piste d’enquête au FBI, mais aucune déclaration officielle de l’agence ne confirme cette affirmation. Aucune plainte criminelle, acte d’accusation, dépôt de saisie ou action de confiscation n’a été trouvée dans les dossiers publics. Les termes employés par Thorn sont donc importants : une identité qui « pourrait être connue » n’est pas la même chose qu’un suspect vérifié ou un défendeur inculpé.
Les fonds de la première vague restent visibles à des adresses associées. Comme l’a précédemment rapporté crypto.news, le solde non déplacé du plus grand attaquant n’a pas été introduit dans un échange ou un mixeur connu. Ces pièces ne sont pas gelées. Les transactions Bitcoin ne peuvent pas être annulées ou bloquées au niveau du protocole. La récupération nécessiterait le contrôle des clés privées, un retour volontaire ou un transfert ultérieur par l’intermédiaire d’un tiers capable de se conformer à un ordre de saisie légal.
Analyse des pertes et des schémas de vol
La dernière page de recherche publique de Galaxy répertorie des pertes d’au moins 1 700 BTC à travers plusieurs vagues. D’autres totaux restent plus élevés car les chercheurs utilisent différents clusters d’adresses, normes de confirmation et rapports de victimes. Les vagues de vol ultérieures ont affiché des schémas de transaction différents.
Les chercheurs ont donc averti qu’il pourrait y avoir plus d’un acteur ayant exploité l’espace de graines faible après que des informations sur la faille soient devenues publiques. Cette distinction signifie que l’identification du premier opérateur ne résoudrait pas nécessairement chaque vol. Galaxy a distribué des adresses suspectes aux enquêteurs, aux échanges et aux entreprises d’analyse, mais aucune agence n’a annoncé de récupération.
Contexte technique et recommandations
Dans une couverture connexe, l’examen technique antérieur de crypto.news a révélé que l’incident impliquait une génération de graines faible plutôt qu’un compromis du protocole Bitcoin ou un accès physique aux appareils. Le conseil de Coinkite indique que les firmwares Mk2 et Mk3 affectés ont généré des graines avec une entropie inadéquate à partir de la version 4.0.1.
Les firmwares corrigés empêchent le même défaut lors de la génération de nouvelles graines. Installer une mise à jour ne répare pas une graine vulnérable existante. Les utilisateurs doivent d’abord mettre à jour, créer une nouvelle graine complètement nouvelle et déplacer leurs fonds après avoir vérifié une transaction de test.
Le statut actuel de Coinkite indique que son post-mortem technique formel est toujours en cours. Il indique également que des vérifications indépendantes ciblées ont eu lieu, mais n’établissent pas que chaque binaire de firmware corrigé a reçu un audit complet. L’incident a suscité des appels à des audits matériels indépendants.
Les questions immédiates concernent désormais la capacité des autorités à relier le compte payant à une personne, si les fonds de la première vague se déplacent et si les dossiers judiciaires confirment finalement une enquête.
