1,6 million $ drainés en un clin d'œil : un utilisateur raconte son dramatique piratage de portefeuille Coldcard

Un entrepreneur canadien a perdu plus de 1,6 million de dollars en Bitcoin (BTC) d'un portefeuille matériel Coldcard en moins de sept minutes, faisant partie d'une vague qui pourrait totaliser 1 367,05 BTC.

L'affaire expose une vérité inconfortable sur la garde autonome : faire tout correctement peut ne pas suffire.

Comment un détenteur a perdu 18 BTC en sept minutes

Le stockage à froid signifie garder les clés privées sur un appareil qui ne touche jamais à Internet. Jonathan Goodman a suivi ce principe avec soin, en stockant son Coldcard dans un coffre-fort.

Ses 18,25 BTC étaient conservés dans des portefeuilles sécurisés dans plusieurs coffres-forts. Il n'a jamais partagé sa phrase de récupération et a gardé chaque appareil isolé de l'exposition en ligne.

Rien de tout cela n'a compté le 29 juillet 2026. Entre 21h36 et 21h43 ce soir-là, chaque portefeuille qu'il contrôlait a été vidé.

Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent.

Goodman a d'abord entendu parler d'un problème plus large alors qu'il était à son chalet.

Supposant que cela ne l'affecterait pas, il a vérifié les soldes dans le logiciel de portefeuille Wasabi et a trouvé une série de transactions de retrait en rouge.

La vulnérabilité remonte à 2021. Un défaut dans le code qui génère des phrases de récupération a laissé certains appareils exposés, et des attaquants auraient utilisé l'intelligence artificielle pour forcer les phrases de récupération affectées.

Il dépose des rapports auprès de la police et de la Commission des valeurs mobilières de l'Ontario. Les espoirs de récupération restent minces, bien qu'il ait écrit que la partie la plus difficile était d'avoir tout fait correctement.

L'échelle s'étend bien au-delà d'une seule victime. Galaxy Research a identifié trois vagues d'attaques suspectées ciblant des adresses générées par des dispositifs Coldcard.

Ces vagues impliquaient 4 585 adresses sources et ont drainé 1 367,05 BTC, d'une valeur d'environ 88,6 millions de dollars au moment du rapport.

Ce que Galaxy Research a trouvé dans les données d'attaque

Le responsable de Galaxy Research, Alex Thorn, indique que les attaques semblent être en cours. Il a exhorté les utilisateurs qui n'ont pas déplacé de fonds depuis des configurations potentiellement vulnérables à agir immédiatement.

Les deux premières vagues ont montré des schémas de transaction similaires et pourraient partager un opérateur commun, bien que cela reste non confirmé. La troisième différait considérablement, suggérant soit des outils mis à jour, soit un acteur séparé exploitant le même espace de clés.

Les Bitcoin volés restent dans des adresses contrôlées par les attaquants, sans mouvement supplémentaire. Les avoirs drainés étaient restés dormants en moyenne pendant 3,18 ans, suggérant que la plupart des victimes étaient des détenteurs à long terme plutôt que des institutions.

Galaxy a souligné un avertissement important. Ses conclusions reposent uniquement sur des données on-chain et n'ont pas confirmé de manière définitive une randomisation insuffisante dans la génération des adresses affectées.

«…c'est un coup dur pour l'auto-garde du bitcoin et nous devons faire mieux en tant que communauté : en matière de sécurité, d'éducation et en étant réaliste sur la complexité, les attentes et les recommandations que nous faisons à nos amis, à notre famille et au public…», a déclaré Alex Thorn.

L'analyste Shanaka Anslem Perera a souligné une ironie plus profonde dans la documentation de Coldcard. Le manuel décrit sa méthode de génération de graines par défaut comme celle en laquelle il a le plus confiance, tout en la qualifiant de faible risque pour les utilisateurs.

Abonnez-vous à notre chaîne YouTube pour regarder des leaders et des journalistes fournir des analyses d'experts..

Des alternatives existent au sein du même appareil. Les utilisateurs peuvent combiner la sortie matérielle avec des lancers de dés, ou se fier uniquement aux dés, ce que le manuel dit éliminer toute confiance dans le matériel. La plupart des utilisateurs ont probablement suivi le chemin par défaut. C'est précisément la méthode que Galaxy Research relie maintenant aux pertes.

La tension conceptuelle est plus profonde. La reproductibilité, prisée pour vérifier le firmware, devient un inconvénient dans la génération secrète, puisque les graines faibles et fortes produisent des phrases de 24 mots valides qui semblent identiques.

Les appareils commercialisés sous un ethos de « Ne faites pas confiance, vérifiez » peuvent encore présenter des défauts d'entropie, laissant aucune trace visible. Les utilisateurs concernés devraient évaluer leurs configurations et migrer des fonds si nécessaire.

Source : BeInCrypto