Les vols de Coldcard grimpent à 88 millions de dollars alors que les dépôts sur les plateformes d'échange explosent et que d'anciens BTC sont remués

Une troisième vague aggrave les dégâts

Galaxy Research a révélé sur X que les trois vagues présumées avaient vidé environ 4 585 adresses et permis de s'emparer de bitcoins d'une valeur d'environ 88,6 millions de dollars au moment de son analyse. Le groupe de recherche a précisé que ses conclusions étaient préliminaires et reposaient entièrement sur des données publiques issues de la blockchain Bitcoin. Un autre tableau de bord, appelé Coldcard Sweep Watch, estime le montant du vol à 1 158,8480 BTC à 17 h (heure de la côte Est) samedi.

Selon les chercheurs de Galaxy, la première vague a été la plus importante : elle a permis de dérober 1 082,65 BTC à partir de 1 195 adresses en 41 minutes, le 30 juillet. Une deuxième opération a permis de collecter 76,16 BTC à partir de 1 478 adresses le lendemain. La troisième vague s’est étendue du 31 juillet au 1er août et a permis de soutirer environ 208 BTC à partir de 1 912 adresses.

Cette troisième opération ne semblait pas être une simple continuation des deux premières. Les vagues 1 et 2 avaient acheminé les fonds via un petit nombre d’adresses de collecte et de stockage. La vague 3 a en revanche acheminé les fonds des victimes vers 293 coffres P2WSH distincts, un type d’adresse Bitcoin capable de masquer ses conditions de dépense jusqu’à ce que les pièces soient transférées.

Ces coffres distincts compliquent la tâche des observateurs extérieurs qui tenteraient de regrouper les fonds. Galaxy a expliqué que ce changement pourrait indiquer que l’attaquant d’origine a réorganisé son opération après que les premiers virements ont été rendus publics, ou qu’une autre partie a découvert le même ensemble d’adresses vulnérables. Les enregistrements de la blockchain ne permettent pas à eux seuls de déterminer quelle explication est la bonne.

Galaxy a établi un lien entre cette activité et une version vulnérable du micrologiciel de la Coinkite Coldcard, diffusée le 17 mars 2021. Aucune des cryptomonnaies concernées n’avait été créée avant cette version, et l’adresse médiane des victimes était restée inactive pendant environ 3,5 ans, ce qui correspond au comportement attendu d’un stockage à froid à long terme.

Les dépôts sur les plateformes d’échange constituent un deuxième indice

Alors que les chercheurs cartographiaient les vols présumés, les plateformes d’échange centralisées de cryptomonnaies ont enregistré une forte augmentation des dépôts de bitcoins le 31 juillet. Les données partagées par Sani de Timechainindex.com ont montré des entrées nettes sur les plateformes d’échange de 11 163 BTC au cours de la journée.

River a reçu environ 3 679 BTC, suivi par Binance avec 3 224 BTC, Kraken avec 2 848 BTC et OKX avec 1 291 BTC. Ces plateformes centralisées ont collectivement reçu 15 205 BTC provenant d’adresses non identifiées, ce qui a considérablement augmenté leurs avoirs déclarés en une seule journée.

Les afflux importants vers les plateformes d’échange attirent souvent l’attention, car les cryptomonnaies déposées sur ces plateformes peuvent être destinées à la vente, à servir de garantie ou à des transferts de conservation internes. Les données ne permettent pas d’établir que les dépôts du 31 juillet provenaient d’utilisateurs de Coldcard, de pirates informatiques ou de toute autre personne réagissant directement à l’incident.

Le moment choisi reste toutefois assez remarquable. Une alerte de sécurité peut très certainement inciter les détenteurs à réorganiser leur stockage, à transférer des cryptomonnaies vers des plateformes d’échange ou à abandonner des configurations de portefeuille auxquelles ils ne font plus confiance. Cela peut également coïncider avec des transferts institutionnels sans rapport, des dépôts de clients et des opérations comptables des plateformes d’échange, ce qui rend ce pic d’afflux important mais non concluant.

De nombreux bitcoins inactifs commencent à circuler

Une troisième évolution est apparue : un grand nombre d’adresses créées entre 2010 et 2017 ont commencé à transférer des cryptomonnaies après neuf à seize ans d’inactivité, selon les statistiques recueillies par Bitcoin.com News auprès de btcparser.com. Les transactions visibles entre le 30 juillet et le 1er août ont totalisé environ 306 BTC, y compris des transferts répétés de 10 BTC et 30 BTC. Une adresse créée le 2 juillet 2010 a transféré une ancienne transaction « coinbase » de plus de 50 BTC. Parmi les autres transactions figuraient 37,8 BTC provenant d’une adresse de 2014 et une série coordonnée de transferts provenant de trois portefeuilles créés le 29 juillet 2017. Ces trois portefeuilles ont transféré 37,5 BTC et deux montants distincts de 30 BTC dans le même bloc.

D’après les données disponibles, cette activité des portefeuilles inactifs ne peut être liée aux opérations de « balayage » de Coldcard. En effet, Galaxy Research a précisé que les bitcoins des victimes présumées avaient tous été créés après la sortie du micrologiciel vulnérable en 2021, tandis que bon nombre des portefeuilles inactifs récemment réactivés détenaient des bitcoins bien avant l’existence de Coldcard.

Toutefois, à l’instar de l’activité sur les plateformes d’échange signalée par Sani, les détenteurs de bitcoins (BTC) inactifs depuis longtemps pourraient remettre en question leurs dispositifs de sécurité et transférer leurs fonds vers des solutions alternatives, notamment des services de conservation.

D’après ce que nous savons, Galaxy Research a indiqué surveiller sept adresses de stockage issues des deux premières vagues et 293 coffres-forts issus de la troisième. La première dépense effectuée à partir de ces coffres-forts pourrait mettre au jour leurs scripts et révéler si les mêmes clés de signature ou la même structure de dépenses apparaissent sur plusieurs adresses.

Au moment de la rédaction de cet article, le sentiment en ligne restait profondément baissier, le BTC s’échangeant en dessous de 63 000 $, à exactement 62 326 $ par pièce.