Le défaut de Coldcard qui a endommagé le coffre-fort le plus sûr de Bitcoin – et pourquoi l’IA change tout par la suite

Les portefeuilles matériels visent à éliminer une catégorie entière de risques : la possibilité qu’une personne qui n’est pas vous-même puisse calculer votre clé privée. Pas de phishing, pas de malwares, pas de risque d’insolvabilité de l’exchange. Il s’agit simplement d’un appareil matériel qui génère une phrase aléatoire, qui devient alors la clé pour ouvrir le coffre-fort, et que seule vous pouvez utiliser.

Le matin du vendredi, environ 500 détenteurs de Bitcoins ont découvert que leurs appareils Coldcard avaient échoué dans cette tâche – et qu’ils fonctionnaient mal depuis mars 2021. Entre 01:31 et 01:56 UTC, un attaquant a réussi à…594 BTC – environ 38 millions de dollars à l’époque.Environ 500 portefeuilles à signature unique ont été volés en 25 minutes. À partir de vendredi, le montant total volé aux utilisateurs de Coldcard semble avoir dépassé…1,082 BTC, bien plus de 70 millions de dollarsComme de plus en plus d’adresses continuaient d’être épuisées.

La vague initiale était très efficace sur le plan industriel. Plus de 1 300 transactions individuelles – c’est-à-dire des montants non utilisés, la plus petite unité atomique d’un solde Bitcoin – ont été transférées via 500 transactions au sein de trois blocs.562 BTC a été regroupé en une seule adresse.Cela n’a pas changé depuis lors. Chaque portefeuille vidé contenait un seul signet. Chacun détenait plus de 0,15 BTC. La plupart étaient restés inactifs pendant des années.

Le propriétaire de ces portefeuilles ne regardait pas. L’attaquant n’avait pas besoin de le faire.

L’erreur qui transforme le hasard en calcul arithmétique

Ce qui est important, c’est ce qui s’est passé, car cela n’a rien à voir avec le phishing, l’ingénierie sociale ou un ordinateur compromis. La phrase de séquence pour Bitcoin – les 12 ou 24 mots qui constituent la clé privée – doit être choisie au hasard dans un ensemble de mots si vaste que deviner son contenu est mathématiquement impossible. Le modèle de sécurité du Bitcoin repose entièrement sur cette aléatoire.

Dans le firmware de Coldcard affecté, ce n’était pas le cas.

L’analyse publiée par l’équipe de développement de Bitcoin à Block, ainsi que les résultats obtenus par Coinkite, qui est l’entreprise fondatrice de Coldcard, a permis d’identifier la vulnérabilité dans une configuration du système d’exploitation qui faisait en sorte que le générateur aléatoire de données matérielles du appareil soit ignoré. Une vérification effectuée dans une bibliothèque de support a ensuite déterminé si cette configuration existait réellement, mais pas si elle était effectivement activée. Comme il n’y avait aucune source de données matérielles fonctionnelle, et qu’aucune erreur n’était générée, la génération des clés de sécurité se faisait via un logiciel de substitution, basé sur le numéro de série de l’appareil et ses registres de temps internes.

Aucun de ces informations n’est secret. Le numéro de série est un métadonnée fixe fourni par l’usine. Les valeurs du chrono sont des informations qui permettent à l’attaquant de déterminer le moment exact, ou simplement de les mesurer sur un appareil identique qu’il possède. Le résultat est que une seule valeur devient une candidate parmi 2^128 possibilités, mais en réalité, il s’agit d’une seule candidate parmi environ 2^40 – soit environ 1,1 trillion de valeurs. C’est encore un nombre important pour une personne, mais c’est très petit pour un cluster informatique moderne.

Cette faille a été introduite dans le firmware 4.0.0 le 1er mars 2021. Elle est restée en circulation pendant près de cinq ans et demi avant que quelqu’un ne la exploite. Les appareils Mk4 et Mk5 n’étaient pas non plus complètement sûrs : les données générées avec le firmware ancien contenaient environ 72 bits d’entropie, plutôt que les 128 bits prévus, ce qui, selon Coinkite, est « moins grave, mais tout de même sérieux ».

Qu’a fait et ne a pas fait Block

Le contexte du concurrent est nécessairement corrigé. L’équipe d’ingénierie de Block a bien publié l’analyse la plus détaillée possible concernant cette vulnérabilité. Ils ont également pu retracer l’origine de ce bug jusqu’au commit correspondant en 2021. Ils ont également identifié les modèles d’attaque utilisés pour exploiter cette vulnérabilité et confirmé le phénomène de collapse d’entropie. Mais à ce moment-là, Block n’avait pas encore identifié l’attaquant, ni remonté l’attaque jusqu’à un prestataire de services blockchain ou à une personne spécifique. L’attaquant reste donc anonyme. L’histoire concerne donc la faille elle-même et ses conséquences structurelles, et non l’attaquant lui-même.

La question de l’IA que personne ne veut ignorer

Ce qui distingue cela des échecs précédents liés aux générations de semences, c’est que les experts du secteur estiment que l’IA a été utilisée dans cette violation. NVK, cofondateur de Coldcard, a averti sur X que la situation a changé. NVK a écrit :

Les revues de code assistées par l’IA peuvent désormais détecter des bugs cachés à une vitesse qui dépasse même celle des experts les plus expérimentés du secteur. Si votre firmware est open source ou a été rendu public, il est probable que soit les attaquants, soit les défenseurs le lisent déjà.

Le firmware de Coldcard est open source. C’est une caractéristique importante : tout le monde peut auditer le code. Mais avec l’apparition de modèles d’IA capables de lire des millions de lignes de code et de détecter les vulnérabilités cachées, il est devenu assez simple pour n’importe qui disposant d’une GPU de payer 70 millions de dollars en récompense aux hackers qui peuvent auditer chaque code source de wallet qu’ils trouvent.

Je pense que c’est le changement structurel qui est important, et non les 38 millions de dollars ou même les 70 millions de dollars. Ce n’est pas parce qu’un seul logiciel a un problème que cela compte. C’est plutôt le coût lié à la détection des vulnérabilités au niveau du firmware qui a diminué. Les personnes qui profitent de cette diminution de coûts ne sont pas celles qui corrigeront le code.

Ce qui cela fait au modèle de confiance

Coldcard occupe une position particulière dans la hiérarchie de sécurité du Bitcoin. C’est le portefeuille en cuière que les maximalistes s’autoproclament – ceux qui vous disent de ne jamais toucher à un exchange, de ne pas utiliser de portefeuille mobile, et de garder vos Bitcoins pendant une décennie ou plus. Il est conçu sur la base de la conviction que la sécurité est une propriété du code, et non des institutions. Lorsque le code échoue silencieusement pendant cinq ans, le problème philosophique est plus important que le problème financier.

Cet incident montre également pourquoi les systèmes à plusieurs signatures peuvent survivre aux erreurs qui entraînent la destruction des portefeuilles à signature unique. Peter Todd, un contributeur clé et ingénieur en cybersécurité, a alerté sur un cas particulier où deux Coldcards sont compromise. Lorsque une transaction révèle le script de signature multiple caché, l’attaquant peut utiliser ces deux clés compromises pour voler les fonds. Mais avec des outils comme le service de minage privé Slipstream de MARA, dont les détails des transactions restent secrets jusqu’à ce qu’ils soient inclus dans un bloc, cette opportunité d’attaque est considérablement réduite. Les portefeuilles à signature unique n’ont pas de moyen de échapper à cela.

Chaque portefeuille qui a été vidé dans cet incident était un portefeuille à signature unique. Ce n’est pas une coïncidence ; c’est la vulnérabilité de ce type qui rend l’attaque économiquement viable.

Les chiffres sur le tableau

Le prix du Bitcoin lui-même est en baisse de 2,9 % aujourd’hui, soit 62 880 dollars. Le marché des cryptomonnaies dans son ensemble se déroule dans un état de peur et de cupidité : le niveau de peur est très élevé. La valeur totale du marché a chuté de 2,3 % en 24 heures. La réaction immédiate des prix est modeste par rapport à l’ampleur du vol de cryptomonnaies. Le marché a dû assimiler cette baisse sur une période beaucoup plus longue : le Bitcoin a perdu près de 28 % au cours de l’année dernière, et presque 12 % en 60 jours. Ainsi, un exploit de type “wallet” de 70 millions de dollars, bien que sérieux, n’a pas provoqué un choc majeur sur le marché.

Cela ne signifie pas que le choc structurel est mineur. Cela signifie plutôt que le marché prend en compte une situation macroéconomique plus mauvaise. La crise des portefeuilles est un problème distinct qui ne se résoudra pas lorsque Bitcoin se redressera.

Ce qui suit

Coinkite a sorti des firmwares fixes : Mk3 pour les versions 4.2.0 et ultérieures, Mk4 et Mk5 pour les versions 5.6.0 et ultérieures, et Q pour les versions 1.5.0Q et ultérieures. Mais mettre à jour le firmware ne répare pas un seed existant. Si votre seed a été généré avec un firmware vulnérable, la matière clé est déjà faible. Vous avez besoin d’un nouveau portefeuille, d’un nouveau seed, et d’une migration sur la blockchain. Les utilisateurs qui ont ajouté de l’entropie de jeu ou une phrase secrète BIP-39 (une mot de passe de secours optionnel ajouté au seed) sont moins exposés au risque.

La question sans réponse est de savoir si il s’agit d’un incident unique – un bug lié au firmware d’un fabricant spécifique – ou si c’est la première fissure visible dans un problème plus large. Tous les portefeuilles matériels majeurs utilisent du firmware. Chaque firmware possède son propre code source. Et chaque code source publié est maintenant lu par des modèles d’IA qui peuvent détecter les bugs plus rapidement que les humains ne le peuvent.

La réaction de l’industrie jusqu’à présent est la même que celle qu’elle montre toujours après une fuite de données dans un portefeuille numérique : déplacer vos fonds, mettre à jour votre appareil, envisager l’utilisation de systèmes de sécurité multiples. Tout cela est correct. Mais l’hypothèse sous-jacente, à savoir que un processus de développement suffisamment rigoureux peut éviter les attaques d’intelligence artificielle, est justement ce que cet épisode teste. Or, les preuves actuelles ne sont pas encourageantes.

Ce que je vais observer, c’est si d’autres fournisseurs de portefeuilles commenceront à révéler des problèmes liés à l’entropie, qui étaient auparavant inconnus, une fois que leur code sera soumis au même examen basé sur l’IA. Si cela se produit davantage, ce n’est pas une histoire concernant Coldcard. C’est une histoire liée aux portefeuilles matériels. Et cela change les considérations pour ceux qui pensent que le stockage froid est la meilleure solution pour conserver les bitcoins en sécurité.