La « Red Team » de Bitcoin identifie 4 962 failles après le piratage de Coldcard

Une réponse à l’exploitation de Coldcard

L’exploitation de la faille du portefeuille matériel Coldcard a permis de détourner des bitcoins (BTC) appartenant à des détenteurs de longue date, à la suite d’un bug du firmware remontant à mars 2021. Les pertes ont dépassé les 116 millions de dollars, soit plus de 1 800 BTC prélevés sur plus de 5 200 adresses.

Cet épisode a donné lieu à une initiative bénévole baptisée « Bitcoin Red Team », menée par Calle, développeur BTC, aux côtés de Rob Hamilton, PDG d’Anchorwatch, assureur spécialisé dans l’auto-custode. Ils ont lancé un audit d’urgence de l’écosystème open source du bitcoin au sens large afin de vérifier si d’autres portefeuilles et bibliothèques de code largement utilisés présentaient des failles similaires à celle qui a causé la perte des utilisateurs de Coldcard.

Seize chercheurs en sécurité ont passé 27,5 heures à passer au crible 390 dépôts open source liés au bitcoin, en combinant une analyse assistée par l’intelligence artificielle (IA) à une révision manuelle. L’équipe a recensé au total 4 962 failles de sécurité, dont 85 classées comme critiques et 635 jugées de gravité élevée (soit une moyenne de 2,31 failles de gravité élevée ou critique par chercheur et par heure).

Le financement de ce sprint a été assuré par Opensats, une association à but non lucratif qui soutient le développement open source de Bitcoin, et qui a versé près de 40 000 dollars pour soutenir le travail des chercheurs. Calle a qualifié l’état de la sécurité de l’écosystème d’« extrêmement mauvais ».

Les analystes qui ont suivi l’audit en temps réel ont noté que seule une faille sur cinq environ avait été reproduite de manière indépendante jusqu’à présent, ce qui montre que bon nombre des problèmes signalés doivent encore être confirmés avant que les développeurs puissent être certains de leur gravité dans la réalité.

Où se concentrent les failles

Les outils de confidentialité et de « coinjoin » (logiciels conçus pour masquer la trace des transactions Bitcoin sur la chaîne) ont représenté la plus forte concentration de problèmes graves, avec 24 % des conclusions critiques, bien qu’ils ne constituent qu’une part mineure de l’ensemble des projets examinés. Les bibliothèques cryptographiques, en revanche, ont généré le plus grand nombre brut de résultats (1 101), mais seulement 10 % d’entre eux, un chiffre relativement faible, ont été classés comme présentant une gravité élevée, ce qui suggère que le code est généralement plus abouti, même s’il fait l’objet d’une attention particulière de la part des chercheurs.

La plupart des 390 projets examinés présentaient peu ou pas de problèmes critiques ; le véritable danger semblait se concentrer sur un ensemble plus restreint d’outils gérant la génération de clés privées, la signature et les transactions préservant la confidentialité, soit la même catégorie de logiciels à l’origine de la défaillance initiale de Coldcard qui a été à l’origine de toute cette initiative.

Le moment choisi pour ces révélations est important, étant donné que la communauté des utilisateurs de bitcoins pratiquant l’auto-conservation a passé les deux dernières semaines à prendre la mesure de l’ampleur des pertes liées à Coldcard, les utilisateurs canadiens représentant à eux seuls environ un quart des fonds volés.

L’avenir doit être évalué

La Bitcoin Red Team a souligné que cet audit constitue la première phase d’un effort continu plutôt qu’un événement ponctuel ; elle prévoit de traiter l’arriéré de conclusions, de confirmer quelles vulnérabilités sont réellement exploitables et de coordonner une divulgation responsable avec les projets concernés avant que tout détail ne soit rendu public.

Pour une communauté de l'auto-custodie qui est encore en train de prendre la mesure de l'ampleur des pertes liées à Coldcard, cet audit prouve également que les chercheurs « white hat » avancent désormais à un rythme plus proche de celui des attaquants.