Comment une faille cachée dans les portefeuilles Coldcard a mené au vol de 88.6m $ de Bitcoin

Coldcard est un portefeuille matériel destiné aux utilisateurs sérieux de Bitcoin. Il ne prend en charge que Bitcoin, peut être conservé hors ligne et utilise un logiciel open-source. Il est assemblé au Canada et est conçu pour sécuriser les Bitcoin des utilisateurs.

Mais à partir de mars 2021, certains appareils Coldcard ont généré les clés privées des clients en utilisant le numéro de série de l'appareil et son horloge interne, plutôt que la puce dédiée conçue pour produire des nombres aléatoires. Cela a rendu les clés beaucoup plus faciles à prédire.

Le 30 juillet, un attaquant a volé 594 Bitcoin dans environ 500 portefeuilles inactifs en seulement 25 minutes. Galaxy Research a depuis lié le vol plus large à 1,082 Bitcoin à travers 1,196 adresses. Au 2 août, le total avait atteint près de 1,367 Bitcoin, d'une valeur d'environ 88.6 millions $.

L'attaquant n'a pas eu besoin d'un accès physique aux portefeuilles. Le code logiciel de Coldcard est publiquement disponible, tout comme les informations sur la blockchain Bitcoin.

L'attaquant semble avoir passé plusieurs semaines à calculer les clés possibles que le logiciel défectueux aurait pu créer. Ces clés ont ensuite pu être associées à des adresses Bitcoin détenant des fonds. Une fois les portefeuilles vulnérables identifiés, l'attaquant a pu déplacer les Bitcoin. Le vol lui-même n'a pris que 25 minutes.