Bitcoin : Le compteur des pertes ne s'arrête plus après le piratage Coldcard

Le compteur ne s’arrête pas. Hier encore fixé à 70 millions de dollars, le montant des pertes liées à la faille Coldcard a bondi à 114 millions $ en l’espace d’une journée. Une quatrième vague de vols de bitcoin vient d’être repérée  et rien n’indique que l’escalade touche à sa fin.

De 70 à 114 millions $ de bitcoin volés : une 4e vague de vols Coldcard vient d’être détectée

Le chercheur Alex Thorn, de Galaxy Research, a repéré ce lundi un schéma de vidage de fonds en bitcoin répété sur 15 blocs consécutifs, à un rythme environ 45 fois supérieur à la normale. Après correction d’un premier recensement qui incluait par erreur des adresses multisignatures, le bilan de cette nouvelle vague d’attaques sur les adresses bitcoin de Coldcard s’établit à 709 adresses touchées pour 448,73 BTC, soit environ 28 millions de dollars.

En ajoutant ce montant aux trois vagues précédentes déjà confirmées (1 367 BTC sur 4 585 adresses), le total grimpe à près de 1 816 BTC, environ 114 millions de dollars. Une hausse de plus de 60% en une seule journée, alors que le chiffre de 70 millions de dollars n’avait été communiqué que quelques jours plus tôt.

Point de prudence important souligné par Thorn, aucune victime n’a pour l’instant confirmé cette quatrième vague. Le chiffre repose sur une analyse de motifs on-chain, pas sur une déclaration officielle des personnes touchées. Autre détail qui change la donne, certaines de ces transactions bitcoin restaient, au moment de l’analyse, encore non confirmées dans la mempool avec l’option Replace-By-Fee activée, laissant une fenêtre aux détenteurs concernés pour tenter de reprendre la main en surenchérissant sur les frais.

Pourquoi cette faille continue de faire des dégâts, plusieurs jours après sa découverte

Ce qui frappe dans cette affaire, ce n’est pas seulement l’ampleur du montant, c’est sa progression continue. Une faille découverte, corrigée en 48 heures par le fabricant Coinkite, et pourtant les pertes de bitcoins continuent de s’accumuler jour après jour. Comment expliquer ce paradoxe ? La réponse tient à la nature même du bug. Le correctif de firmware empêche la génération de nouvelles seeds vulnérables, mais il ne répare rien pour les clés déjà créées avant sa mise en place. Concrètement, chaque wallet dont la seed a été générée avec l’ancien firmware buggé — un défaut remontant à mars 2021 — reste exposé tant que son propriétaire n’a pas migré ses fonds vers une seed entièrement nouvelle.

Autrement dit, la correction technique a stoppé l’hémorragie à la source, mais pas l’exploitation des failles déjà semées depuis cinq ans. Tant que des détenteurs de bitcoin ignorent qu’ils sont concernés, l’attaquant dispose encore d’un vivier de cibles à exploiter, une par une, au rythme de ses recherches on-chain. C’est cette mécanique qui explique pourquoi le montant grimpe par vagues successives plutôt que d’un seul coup. Chaque nouvelle salve correspond à un lot de wallets identifiés et vidés, pas à une attaque continue sur une seule cible.

Combien de wallets BTC restent encore exposés, silencieusement, avant que leurs propriétaires ne réagissent ? Tant que la migration des seeds ne sera pas généralisée, le compteur des attaques bitcoin sur Coldcard risque de continuer à grimper. La vraie question n’est plus de savoir si la faille est corrigée, mais combien de temps il faudra avant qu’elle cesse de faire des victimes.