L’exploiteur lié à la troisième vague d’attaques contre les portefeuilles Coldcard a désormais transféré 45 % des bitcoins dérobés, selon Galaxy Research.
La société a indiqué que les fonds avaient été transférés soit vers Ethereum via THORChain, soit dans des CoinJoin, dans le but de blanchir les actifs volés. Lors de la vague 3, l’exploiteur a créé 293 coffres multisignatures 2 sur 2 contenant les bitcoins des victimes.
Butin de la vague 3
Les premiers mouvements, le 2 septembre, ont acheminé des fonds vers Ethereum via THORChain, tandis que les transactions les plus récentes les ont dirigés vers des cycles CoinJoin. Galaxy Research a indiqué que l’opérateur dépensait systématiquement la part la plus importante des fonds volés, selon leur classement par taille. Les rangs 1 à 11 ont déjà été déplacés.
Les 10 coffres suivants encore intacts contiennent 30,81 BTC, tandis que ceux des rangs 61 à 293 en détiennent au total 33,77. Les dernières transactions ont permis à Galaxy d’identifier un coffre jusque-là inconnu, associé à 58 adresses probablement liées à des victimes de Coldcard.
La plupart des fonds dérobés lors de l’exploitation de la faille Coldcard n’ont pas encore été déplacés. En fait, environ 82 % des fonds, toutes vagues confondues, sont toujours conservés sur les adresses contrôlées par l’attaquant où les bitcoins avaient été stockés initialement. Les 18 % restants ont déjà été transférés, et ces transactions semblent liées à des tentatives de blanchiment du butin issu de l’exploitation.
Conséquences
L’attaque a commencé le 30 juillet 2026 et a ciblé les portefeuilles Coldcard, qui présentaient une faille du micrologiciel existant depuis des années. Le problème provenait d’une mise à jour de mars 2021 et d’une erreur de compilation. Les portefeuilles utilisaient ainsi un générateur aléatoire logiciel peu fiable au lieu de leur source matérielle. La sécurité de la phrase de récupération est alors passée des 128 bits attendus à seulement 40 bits sur les appareils les plus anciens. Les attaquants pouvaient ensuite retrouver les clés par force brute, sans avoir à accéder physiquement aux portefeuilles.
L’activité sur Bitcoin a fortement augmenté après l’exploitation de la faille, les utilisateurs concernés ayant déplacé et regroupé leurs avoirs pour limiter leur exposition. Le nombre d’adresses actives a ainsi atteint son plus haut niveau en huit mois. L’incident n’a toutefois eu qu’un impact négligeable sur le cours de l’actif crypto. Au contraire, le BTC a connu une belle hausse, frôlant les 82 000 $ le mois dernier.
Depuis, l’actif a reculé, mais s’échange autour de 79 500 $ au moment de la rédaction.
Source : CryptoPotato
