ZachXBT, enquêteur spécialisé dans la blockchain, affirme qu'il n'a pas l'intention de remonter la piste du piratage de Coldcard, qui a coûté 88,6 millions de dollars, expliquant à ses abonnés que la communauté Bitcoin ne lui a guère apporté de soutien en contrepartie de son travail ces dernières années.
ZachXBT refuse de retracer le piratage de Coldcard, d'un montant de 88 millions de dollars
ÉCRIT PAR
PARTAGER
Points clés
- ZachXBT a refusé de remonter la piste du piratage de Coldcard, invoquant le manque de soutien de la part des détenteurs de bitcoins.
- La faille de sécurité de Coldcard, exploitée par Coinkite, a permis de détourner 1 367 BTC depuis 4 585 adresses depuis le 30 juillet 2026.
- Galaxy Research continue de suivre la trace des fonds volés, tandis que la politique de conservation des e-mails de Coinkite suscite de nouvelles critiques.
ZachXBT affirme avoir « moins d’obligation » d’apporter son aide
Ce prolifique enquêteur « on-chain », connu pour avoir démasqué les pirates à l’origine de certains des plus gros vols dans le monde des cryptomonnaies, a publié sur X qu’il n’avait actuellement pas l’intention de surveiller ni de retracer l’incident Coldcard. Il a expliqué qu’il consacrait son temps aux écosystèmes qui valorisent son travail, ajoutant que les « Bitcoin maxis » ne sont ni des donateurs ni des soutiens de ses enquêtes, et qu’il se sent donc moins obligé de les aider.
Cette remarque intervient alors que la faille de Coldcard entame son cinquième jour et que le montant total des pertes ne cesse d’augmenter. ZachXBT a déjà travaillé bénévolement sur des affaires majeures, et son message suggère qu’il existe un fossé important entre la bienveillance dont la communauté Bitcoin a fait preuve à son égard et les efforts qu’on lui demande de fournir lorsque les choses tournent mal.
Le piratage de Coldcard à ce jour
La faille remonte à un défaut du micrologiciel des portefeuilles matériels fabriqués par le fabricant canadien Coinkite. Ce bug a affecté les appareils Coldcard Mk3 fonctionnant sous les versions 4.0.1 à 4.1.9, entraînant pour certains portefeuilles la génération de l’entropie de la graine via un générateur de nombres aléatoires logiciel plutôt que via la puce dédiée du matériel, un défaut qui rendait certaines graines devinables.
La première vague a frappé le 30 juillet, lorsque près de 594 BTC, d’une valeur d’environ 38 millions de dollars à l’époque, ont été détournés de près de 500 adresses inactives en moins de 30 minutes. Coinkite a publié un micrologiciel corrigé en moins de deux jours, mais les dégâts ont continué de s’étendre et, le 2 août, Galaxy Research avait recensé un total cumulé de 1 367 BTC, d’une valeur de 88,6 millions de dollars, prélevés sur 4 585 adresses au cours de trois vagues d’attaques distinctes.
La rapidité et la précision de ces vols ont alimenté les spéculations selon lesquelles des outils automatisés, peut-être assistés par l’IA, auraient aidé le pirate à identifier et à vider les adresses vulnérables en quelques minutes à chaque vague d’attaque. Le vol a continué de prendre de l’ampleur alors même que les dépôts sur les plateformes d’échange provenant des fonds volés grimpaient en flèche et que d’anciens BTC, auparavant inactifs et liés à l’affaire, recommençaient à circuler.
La conservation des données aggrave la polémique
La gestion de la situation par Coinkite a elle-même fait l’objet d’une controverse, l’entreprise ayant envoyé un e-mail à toutes les adresses de clients qu’elle a pu retrouver dans ses registres de boutique en ligne et de newsletter, dont certaines remontaient à 2019, afin de les avertir de la faille.
Cela contredisait les déclarations antérieures du PDG Rodolfo Novak, selon lesquelles Coinkite effaçait les données des clients 90 jours après un achat et proposait des options d’achat anonymes. Coinkite a par la suite admis conserver indéfiniment les adresses e-mail utilisées lors des achats et a reconnu ne pas disposer de politique de suppression pour ces données, une révélation qui a suscité une vague de critiques distincte de celle liée au piratage lui-même.
Novak a défendu le bilan global de l’entreprise en matière de sécurité, soulignant que les concurrents sont régulièrement confrontés à des failles et que Coinkite prend la question extrêmement au sérieux. Néanmoins, cet épisode a déjà commencé à éroder la confiance dans l’auto-custode et pourrait pousser les investisseurs les plus prudents à se tourner à nouveau vers les fonds négociés en bourse plutôt que de gérer eux-mêmes leurs clés.
Cette saga a également donné lieu à un véritable drame sur la blockchain, au-delà du vol lui-même. Une offre effrontée de blanchiment de bitcoins destinée au pirate a été publiée directement sur la blockchain de Bitcoin, transformant l’affaire en un spectacle public se déroulant en temps réel sur les réseaux sociaux et dans les données de la blockchain.
Avec le retrait de poids lourds comme ZachXBT, la charge de retrouver les 1 367 BTC volés repose désormais davantage sur des entreprises telles que Galaxy Research, qui publie des mises à jour au fur et à mesure que l’activité du portefeuille de l’attaquant évolue. Des informations ont révélé que le bug d’entropie affectant les appareils Coldcard Mk3 remonte à une version du firmware datant de mars 2021, ce qui signifie que toute graine de portefeuille générée sur cette version depuis plus de quatre ans pourrait encore être exposée jusqu’à ce que les propriétaires passent à une nouvelle graine sur le firmware corrigé.
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
