L’attaquant à l’origine d’une série d’exploits visant les portefeuilles matériels Coldcard continue de déplacer les bitcoins volés. Selon Galaxy Research, l’opérateur associé à la troisième vague d’attaques a déjà transféré environ 45 % des fonds dérobés au cours de cette phase.
Les chercheurs estiment qu’environ 97,09 BTC, d’une valeur proche de 7,8 millions de dollars, ont récemment été déplacés. Une partie des transactions a été effectuée via CoinJoin, un mécanisme conçu pour rendre plus difficile le suivi des mouvements de fonds sur la blockchain.
Dans le même temps, la majorité des actifs volés reste encore intacte. Galaxy estime qu’environ 82 % de l’ensemble des BTC dérobés se trouvent toujours sur les adresses initiales liées à l’attaquant.
L’attaquant déplace progressivement les soldes les plus importants
L’analyse des transactions suggère que l’attaquant ne transfère pas l’ensemble des fonds volés en une seule fois, mais procède progressivement, en commençant par les portefeuilles compromis présentant les soldes les plus élevés.
Selon Galaxy, les fonds provenant des 11 plus grands portefeuilles ont déjà été déplacés. Les 10 portefeuilles suivants encore intacts contiennent ensemble environ 30,81 BTC.
Un autre groupe de portefeuilles plus petits, classés entre la 61e et la 293e place selon la taille de leur solde, contient au total environ 33,77 BTC.
Ce schéma pourrait indiquer que l’attaquant cherche à consolider progressivement les fonds ou à en masquer l’origine, tout en évitant de transférer l’intégralité du montant volé dans une seule transaction.
Une partie des BTC a été transférée via CoinJoin
L’attaquant avait déjà déplacé une partie des actifs volés via différents services crypto. Une partie des BTC avait notamment été échangée contre de l’Ether via THORChain.
Par la suite, l’attaquant a commencé à utiliser CoinJoin, un mécanisme qui combine plusieurs transactions afin de compliquer l’identification de la source initiale et de la destination finale de certaines unités de bitcoin.
Galaxy estime qu’environ 18 % de l’ensemble des fonds volés ont déjà quitté les adresses d’origine dans le cadre d’opérations que les chercheurs associent à des tentatives visant à compliquer leur suivi.
Les attaques ont été liées à une vulnérabilité dans la génération des phrases seed de Coldcard
La série de vols a commencé le 30 juillet. Les chercheurs ont lié l’incident à une faille présente dans le firmware de certains appareils Coldcard et introduite dès 2021.
Le problème concernait le processus de génération des phrases seed sur certains appareils. En raison d’un niveau d’aléa insuffisant, certaines combinaisons pouvaient être beaucoup plus prévisibles que prévu par le système de sécurité.
Cela aurait potentiellement permis aux attaquants de reconstituer les informations nécessaires pour accéder à des portefeuilles Bitcoin vulnérables sans avoir besoin d’un accès physique au portefeuille matériel.
L’incident montre que la sécurité d’un hardware wallet ne dépend pas uniquement du stockage hors ligne des clés privées, mais également de la fiabilité des algorithmes utilisés lors de la génération initiale des données cryptographiques.
Galaxy avait précédemment identifié environ 1 779 BTC volés
À la mi-août, Galaxy Research estimait qu’environ 1 779 BTC avaient été dérobés.
Selon la société, les attaques auraient pu affecter environ 190 utilisateurs et plus de 8 600 adresses Bitcoin.
Les chercheurs avaient également évoqué la possibilité d’une vague d’attaques supplémentaire, mais cette hypothèse n’avait pas pu être confirmée de manière définitive à ce stade.
Un nouveau groupe d’adresses pourrait porter les pertes à 1 806 BTC
Lors d’une analyse ultérieure, Galaxy a identifié un groupe auparavant inconnu de 58 adresses dont les fonds ont ensuite été dépensés conjointement par l’attaquant.
Les chercheurs estiment que ces adresses pourraient avoir appartenu à d’autres victimes du même exploit visant Coldcard.
Si cette hypothèse est confirmée, le montant total dérobé pourrait atteindre environ 1 806 BTC. Selon l’estimation actuelle du prix du bitcoin, cela représenterait près de 143,9 millions de dollars.
Galaxy souligne toutefois que ce chiffre révisé reste une estimation. Les chercheurs n’ont pas encore confirmé que chacune des nouvelles adresses identifiées a été compromise spécifiquement par la vulnérabilité Coldcard.
La majorité des bitcoins volés reste sur les adresses d’origine
Malgré les mouvements de fonds en cours, une part importante des actifs volés n’a toujours pas été transférée.
Galaxy estime qu’environ 82 % des BTC dérobés restent sur les adresses initiales de l’attaquant. L’activité future de ces portefeuilles pourrait donc fournir aux analystes des informations supplémentaires sur la stratégie du hacker et les éventuels itinéraires utilisés pour déplacer les fonds.
L’incident Coldcard est déjà devenu l’une des plus importantes attaques récentes impliquant des portefeuilles matériels Bitcoin. Si l’estimation de 1 806 BTC est confirmée, les pertes totales pourraient approcher 143,9 millions de dollars, tandis que l’enquête pourrait continuer à s’élargir à mesure que de nouvelles adresses et transactions liées à l’attaque sont identifiées.