Faille du firmware Coldcard : vol de 100 M+ BTC confirmé, possible 4e vague
Selon Galaxy Research, les vols liés à une faille de micrologiciel Coldcard sont désormais confirmés à hauteur de 1 596 BTC (environ 100 M$+) volés à quelque 7 300 adresses sur trois grandes vagues d’attaque et 14 incidents plus modestes. Une quatrième vague suspectée est possible avec un niveau de confiance moyen à élevé, ce qui pourrait porter les pertes totales à 2 055 BTC (environ 130 M$). Galaxy a maintenu cette quatrième vague en dehors des totaux « confirmés » car les victimes n’ont pas encore fait de retour : à ce jour, 73 victimes ont contacté la société et ont contribué à vérifier les trois premières vagues.
On-chain, environ 90 % des bitcoins volés n’ont pas bougé. Les adresses attaquant/victime ont été partagées avec les forces de l’ordre fédérales américaines, les échanges et des enquêteurs cyber, tandis que des opérations de « sweeps » seraient en cours. Galaxy relie l’incident à une erreur de compilation du firmware Coldcard datant de mars 2021 : un paramètre de configuration a contourné le générateur matériel de nombres aléatoires de l’appareil, et la génération des clés a alors basculé vers un substitut logiciel, initialisé (seed) à partir des données de numéro de série/timer de la puce. Un micrologiciel corrigé a été livré le 31 juillet, mais il ne peut pas réparer les seeds déjà générées avec la configuration vulnérable.
Pour les traders, l’impact immédiat sur le marché du BTC est probablement limité, mais les titres autour de la faille du micrologiciel Coldcard peuvent temporairement affecter l’appétit pour le risque lié à la self-custody. À plus long terme, l’enjeu est un regain d’attention porté à la sécurité opérationnelle, en particulier pour les utilisateurs qui ont retardé les mises à jour du firmware Coldcard après l’apparition de la vulnérabilité.
Neutral
Il s’agit avant tout d’un incident lié à un hardware wallet en self-custody. Même si la faille de firmware Coldcard désormais confirmée, à l’origine du vol, dépasse les 100 M$ et qu’une possible quatrième vague pourrait porter les pertes à environ 130 M$, Galaxy note qu’environ 90 % des BTC volés n’ont pas encore bougé. Cela réduit la pression vendeuse immédiate sur les exchanges provenant spécifiquement de ce hack.
À court terme : les traders pourraient observer un sentiment temporairement « risk-off » autour des titres liés à la self-custody et à la sécurité, mais l’impact sur le prix du BTC est probablement limité sans preuve d’une distribution importante et imminente vers des lieux de liquidité.
À long terme : l’accent mis sur la sécurité opérationnelle pourrait pousser davantage d’utilisateurs à mettre à jour le firmware ou à migrer les seeds, mais il s’agit davantage d’un changement de comportement structurel que d’un choc direct de la demande en BTC. Globalement, le flux d’informations suscite des inquiétudes, sans se traduire clairement par des fondamentaux baissiers du BTC à court terme.