Les problèmes liés à Coldcard continuent de s’accumuler, car les audits automatisés identifient 85 autres bugs critiques liés au Bitcoin.

Les pertes liées à Coldcard sont encore en cours de comptage ; donc, le risque n’est pas derrière nous.

C’est encore une histoire de risques en cours, pas un titre terminé. Galaxy a suivi une première vague…1,082,65 BTC, valant environ 70,2 millions de dollars.En une attaque d’une durée de 41 minutes, deuxième et troisième vague ont été identifiées, ce qui fait un total de 1 367,05 BTC, soit environ 88,6 millions de dollars, répartis sur 4 585 adresses. Même après la publication d’un correctif, l’incident continue d’entraîner des pertes continues et des portefeuilles exposés.

Pourquoi les attaques semblent automatisées

Galaxy indique que chaque transaction dans la première vague utilisait une même taux de frais, sans aucun montant restant après les transactions. Ce schéma suggère qu’il s’agit d’une sorte d’outil automatisé qui dépense les clés qu’il possède déjà, plutôt que les utilisateurs qui décident quand transférer les fonds. Si cela continue, l’outil pourrait continuer à chercher des faiblesses similaires.

Pourquoi l’histoire s’est répandue au-delà de Coldcard

Ce qui a commencé comme une fuite de données dans la carte-mémoire matérielle a également entraîné une revue plus large des codes. Le sprint d’audit du Bitcoin Red TeamDébuté après l’exploitation de Coldcard.Il a été identifiés 85 vulnérabilités critiques et 635 problèmes de haute gravité dans environ 390 projets open-source liés au Bitcoin. Cela ne prouve pas que toutes ces failles soient activement exploitées, mais cela montre à quel point du code fragile peut encore exister avant même que les fonds réels ne soient utilisés.

Le défaut de Coldcard était une erreur de randomisation ; le patch ne corrige pas les anciens “seeds”.

La cause racine était une erreur de routage du firmware.

Les dégâts remontent à…Erreur d’intégration du firmware en mars 2021Cela consiste à utiliser un générateur de nombres aléatoires pseudo-déterministes dans le logiciel, plutôt que le générateur de nombres aléatoires matériel STM32. En pratique, cela rend les sorties moins aléatoires et plus faciles à contrôler si l’attaquant peut limiter les entrées.

Pourquoi une vérification hors ligne peut encore entraîner des pertes réelles

La vulnérabilité peut être testée sans avoir à toucher le dispositif de la victime. Un attaquant qui est capable de déterminer ou de restreindre suffisamment l’UID du dispositif, l’état du timer et l’historique des appels au générateur aléatoire peut reproduire les flux de sortie possibles en ligne. De là, il peut déduire des séquences de référence, générer des adresses et les comparer avec les données publiques sur la blockchain. C’est pourquoi une faille peut rester cachée pendant longtemps, mais continuer à poser des problèmes par la suite.

Un patch arrête les nouvelles fuites, pas les dommages antérieurs.

Coinkite a pousséFirmware d’urgenceLe jour suivant le premier drainage, mais l’installation de ce dispositif ne permet pas de réparer un semence déjà existante. L’analyse de Block indique également qu’aucun rapport public n’a encore permis de reconstituer la semence du victime et de l’associer à une adresse concernée par le drainage. Pour l’instant, les conseils pratiques sont de générer une nouvelle semence avec le firmware corrigé, et de transférer les fonds plutôt que de restaurer une semence vulnérable ailleurs.

L’essentiel est la vérification, et non la découverte.

L’audit assisté par l’IA a révélé 85 défauts critiques sur 390 projets en moins de 24 heures. En gros, un défaut critique se trouve pour chaque personne toutes les heures, et les coûts de calcul s’élèvent à environ 10 000 dollars par jour. Ce qui est plus important, c’est ce que les développeurs eux-mêmes ont souligné : à mesure que l’IA réduit le coût de détection des défauts, la vérification et le routage deviennent des problèmes plus difficiles à résoudre.

Cela a deux effets. Cela signifie que les attaquants peuvent utiliser la même méthode pour découvrir les problèmes plus rapidement. Mais cela signifie aussi que les problèmes connus peuvent être identifiés et examinés plus rapidement. C’est là que le risque reste généralement caché, entre la découverte et la vérification.

Qu’est-ce qui permettra de voir si cela continue à se développer ?

Un point de frontière important reste encore important : la chaîne de dommages se poursuit jusqu’à…Une vulnérabilité de firmware dans les portefeuilles matériels ColdcardCe n’est pas une rupture dans le protocole de base de Bitcoin. Cela signifie donc qu’il s’agit d’un problème de routage de stockage personnel, et non d’une preuve que Bitcoin lui-même est corrompu.

Faites attention aux adresses qui ont été vidées de leur eau.

Si Galaxy trouveUne autre vague de adresses vidées…L’histoire continue d’évoluer. Le signe le plus clair serait le même schéma de dépenses automatisées que nous avons vu précédemment : des taux de frais identiques, et aucun changement dans les résultats.

Faites attention à la confirmation dans les autres projets.

L’audit est encore en cours de révision.Presque 390 projets Bitcoin open source, etLes responsables de projet ont rapidement validé la plupart des rapports essentiels.Cela rend les prochains jours importants pour comprendre si Coldcard s’agit d’une panne isolée, ou si c’est le premier signe d’une faiblesse plus large de l’écosystème.

Les domaines à surveiller incluent les applications liées aux portefeuilles de données et les chemins de firmware, les codes QR et les outils d’exportation, ainsi que les bibliothèques cryptographiques ou autres codes liés au traitement des clés. Si ces domaines restent tranquilles, cela indiquerait que Coldcard reste la principale voie d’exploitation confirmée, plutôt que le début d’une série d’attaques plus larges.