Plus de 110 millions de dollars en Bitcoin volés à cause d’une simple ligne de code défaillante
Un petit boîtier censé être le coffre-fort ultime pour vos cryptomonnaies. C’est ce que promettait Coldcard, portefeuille physique fabriqué par l’entreprise canadienne Coinkite. Sauf qu’une ligne de code oubliée depuis 2021 vient de coûter une fortune à des milliers de détenteurs de Bitcoin. Voici comment une faille invisible a permis de siphonner des dizaines de millions de dollars en quelques minutes.
Un coffre-fort numérique qui cachait une brèche depuis 2021
Les portefeuilles « froids » comme Coldcard sont censés être la solution la plus sûre pour stocker des bitcoins. Contrairement aux plateformes en ligne, ces petits appareils ressemblant à des clés USB conservent les clés d’accès hors connexion, à l’abri des pirates classiques. C’est justement cette réputation d’infaillibilité qui rend l’affaire aussi retentissante.
Selon un avis de sécurité publié par Block, entreprise américaine de technologie financière, le problème se situe au moment où le logiciel génère la clé privée d’accès aux fonds. Une ligne de code défectueuse a fragilisé ce processus censé être totalement aléatoire, un peu comme certains services numériques qui exposent des données sans que les utilisateurs s’en aperçoivent.
La faille remonte à mars 2021, comme l’a reconnu Coinkite dans un message envoyé à ses clients. Autrement dit, des appareils vendus depuis plus de quatre ans transportaient une faiblesse silencieuse, sans que personne ne s’en rende compte jusqu’à cet été.
Comment 1 755 bitcoins se sont envolés en 41 minutes
Le mécanisme exact de l’attaque est presque vertigineux de simplicité. La série de nombres censée générer la clé privée est théoriquement impossible à deviner, comme l’explique Numérama. Mais l’erreur dans le code a « fait basculer certains appareils vers un générateur bien plus faible », selon le site spécialisé.
Concrètement, des phrases de récupération, ces suites de 12 à 24 mots censées protéger les fonds, sont devenues prévisibles pour des pirates expérimentés. Résultat : ils ont pu voler des bitcoins sans même toucher aux portefeuits physiques des victimes.
Alex Thorn, responsable recherche chez Galaxy, a alerté sur X le 3 août d’une nouvelle vague d’attaques. La première salve avait déjà été fulgurante : 1 083 bitcoins dérobés sur 1 196 adresses en seulement 41 minutes, précise l’entreprise dans un message publié le même réseau social. Au total, ce sont 1 755 bitcoins, soit environ 110 millions de dollars, qui ont disparu sur plus de 5 000 adresses.
La riposte de Coinkite : destruction de stocks et appareils suspendus
Face à l’ampleur du désastre, Coinkite a réagi dans l’urgence. L’entreprise a annoncé sur X avoir suspendu toutes les expéditions de portefeuilles Coldcard. Plus radical encore : tous les appareils encore stockés dans ses locaux, équipés du micrologiciel défaillant, ont été purement et simplement détruits.
Pour les commandes déjà envoyées, les clients concernés ont été contactés directement par e-mail avec les étapes à suivre pour migrer leurs bitcoins vers une nouvelle phrase de récupération. Le micrologiciel a depuis été corrigé, mais cela ne répare rien automatiquement : chaque utilisateur doit générer lui-même une nouvelle clé pour sécuriser ses fonds, un peu comme on changerait la serrure d’une porte après un cambriolage.
Coinkite conseille aussi dans un autre message aux victimes de conserver précieusement leurs portefeuilles affectés. « Ils pourraient s’avérer essentiels si les fonds devaient être récupérés », précise l’entreprise, qui promet une coordination avec les forces de l’ordre pour identifier les responsables. Les autres outils de la marque, comme Satscard ou Tapsigner, utilisent une base de code différente et ne sont pas touchés. Coinkite a présenté ses excuses à ses clients dimanche.
Une faille vieille de quatre ans, des dizaines de millions envolés en quelques minutes : l’histoire rappelle que même les coffres-forts les plus sophistiqués reposent, au fond, sur une simple ligne de code. La prochaine question, c’est de savoir combien d’autres appareils, ailleurs, cachent encore la même faiblesse sans que personne ne l’ait détectée.