MARA ouvre « Slipstream » au public alors que les victimes de Coldcard se précipitent pour s'échapper

MARA supprime les codes d’accès

MARA Holdings, société cotée au Nasdaq spécialisée dans le minage de bitcoins et la fourniture d’infrastructures d’intelligence artificielle (IA), anciennement connue sous le nom de Marathon Digital, a développé le service Slipstream afin de permettre aux utilisateurs d’envoyer des transactions en bitcoins directement vers son pool de minage, plutôt que de les diffuser sur le réseau public.

La plupart des transactions en bitcoins transitent par une « salle d’attente » partagée appelée « mempool », où chaque nœud du réseau peut voir une transaction avant qu’elle ne soit confirmée dans un bloc. Slipstream contourne cette salle d’attente. Un utilisateur soumet une transaction signée directement à MARA, et celle-ci reste cachée jusqu’à ce que MARA mine un bloc contenant cette transaction.

Le 3 août 2026, la Fondation MARA a publié cette mise à jour sur X :

« MARA Slipstream est désormais disponible en tant que bien public sans autorisation préalable et ne nécessitant aucun code client. Veuillez faire preuve de prudence et de modération concernant les frais afin d’éviter que les transactions ne restent bloquées dans le mempool de Slipstream en cas de flambée des tarifs concurrentiels. Dans un avenir prévisible, nous ne facturons pas de frais supplémentaires pour ce service, mais les utilisateurs sont tenus de payer les frais de transaction Bitcoin appropriés. »

Ce dernier point est important. MARA n’ajoute pas de surcoût supplémentaire. Les utilisateurs paient toujours les frais habituels du réseau Bitcoin ; ils envoient simplement la transaction via un canal privé plutôt que via le canal public.

Une faille dans un portefeuille matériel dicte le calendrier

Le timing n’est pas une coïncidence. Fin juillet, des chercheurs ont révélé une faille grave dans les portefeuilles matériels Coldcard, remontant à une erreur de codage du micrologiciel datant de mars 2021. Au lieu de puiser des nombres aléatoires dans le générateur matériel dédié de l’appareil, les modèles Coldcard concernés ont eu recours à un processus logiciel moins sûr lors de la création de la phrase de récupération de 24 mots du portefeuille. Cette erreur a réduit l’aléatoire effectif de 128 bits (valeur attendue) à environ 40 bits sur les anciens modèles et à 72 bits sur les plus récents. Un nombre réduit de combinaisons possibles signifie qu’un pirate disposant d’une puissance de calcul suffisante peut deviner la phrase de départ et déverrouiller le portefeuille.

Les pirates se précipitent pour vider les portefeuilles vulnérables

Les attaquants ont agi rapidement. Les premiers décomptes faisaient état d’environ 594 BTC, soit près de 38 millions de dollars à l’époque, dérobés à environ 500 adresses. Des estimations ultérieures ont porté le total à un montant compris entre 70 et 88 millions de dollars, à mesure que d’autres portefeuilles compromis ont été mis au jour. Au 4 août, on estime que les pirates ont volé environ 1 816 BTC, d’une valeur d’environ 116 millions de dollars, provenant de plus de 5 200 portefeuilles distincts.

Un correctif du micrologiciel empêche les nouveaux portefeuilles d’hériter de cette faille, mais il ne change rien pour les phrases de récupération déjà générées sous le code défectueux. Toute personne ayant configuré une Coldcard au cours des années concernées doit transférer ses cryptomonnaies vers un nouveau portefeuille.

Le transfert public de fonds crée un piège

Pour les personnes utilisant des configurations à signatures multiples, courantes chez les utilisateurs de Coldcard qui répartissent le contrôle de leurs fonds sur plusieurs appareils, la migration elle-même comporte un risque. La diffusion publique d’une transaction révèle les clés du portefeuille et les conditions de dépense. Un attaquant disposant déjà d’une clé privée faible correspondante peut repérer cette transaction, en créer une concurrente avec des frais plus élevés, et utiliser une fonctionnalité du réseau Bitcoin appelée « Replace-by-Fee » (RBF) pour passer devant dans la file d’attente et voler les fonds avant que la transaction d’origine ne soit confirmée.

La fonctionnalité « Slipstream » de MARA élimine cette fenêtre d’exposition. Comme la transaction ne passe jamais par le mempool public, un attaquant ne voit jamais les clés ni les détails de la dépense avant que MARA n’ait déjà miné les pièces dans un bloc confirmé.

Slipstream a devancé la crise de deux ans

MARA a lancé Slipstream pour la première fois le 22 février 2024, dans le but de faciliter les transactions importantes ou inhabituelles que de nombreux nœuds Bitcoin refusent de relayer en vertu de la politique standard. Le PDG Fred Thiel l’avait alors présenté comme un moyen de mettre l’infrastructure de minage de MARA au service des utilisateurs avancés de Bitcoin tout en respectant les règles du protocole. L’accès nécessitait auparavant un code client pendant les périodes de forte demande ou de maintenance. Cette exigence a désormais disparu.

Les utilisateurs assument toujours le risque lié à la confiance et au timing

Slipstream dépend toujours de la capacité de MARA à trouver des blocs. Une transaction reste dans la file d’attente privée de MARA jusqu’à ce que le pool en mine un ; le délai dépend donc entièrement de la part de MARA dans le hashrate total de Bitcoin.

Au moment de la publication, le pool de MARA représente plus de 5 % de la puissance de hachage totale alimentant Bitcoin. MARA recommande à ses utilisateurs de maintenir des frais compétitifs mais pas excessifs, car une transaction bloquée dans sa file d’attente privée lors d’un pic des frais pourrait rester en attente un certain temps avant d’être confirmée.

Quelle est la prochaine étape pour les détenteurs de Coldcard ?

La communauté Bitcoin dans son ensemble considère la remise en service publique de Slipstream comme un outil pratique en cas de crise de sécurité, et non comme un changement permanent dans la manière dont la plupart des transactions devraient être traitées. Pour les transferts quotidiens, le mempool public reste la voie habituelle. Mais pour les utilisateurs de Coldcard qui détiennent encore des cryptomonnaies sur des graines compromises, les chercheurs en sécurité et les développeurs de portefeuilles ont mis en avant Slipstream comme l’un des moyens les plus fiables de transférer des fonds sans alerter au préalable les attaquants.

Restez à l’affût des mises à jour concernant les estimations des pertes à mesure que de nouvelles adresses compromises sont identifiées, des recommandations supplémentaires de Coldcard sur les versions de firmware et les plages de numéros de série concernées, et pour savoir si d’autres mineurs suivront l’exemple de MARA en proposant un canal de soumission privé similaire.