En 2024, peut-on vraiment se fier à la sécurité dite “infaillible” des portefeuilles hardware pour cryptomonnaie ? Depuis plusieurs semaines, une vague inédite de vols secoue la communauté Bitcoin. Pourquoi ces attaques prennent-elles tout le monde de court, même les détenteurs les plus prudents ?
Tandis que de nombreux amateurs et experts vantaient Coldcard comme le Graal du stockage “froid”, plus d’une douzaine de hackers profitent aujourd’hui d’un défaut inattendu. Comment expliquer qu’une solution censée rester hors de portée des cybercriminels soit elle-même compromise ? Près de 130 millions de dollars se sont déjà volatilisés, selon les sociétés de sécurité chargées d’analyser le phénomène. Mais qui sont réellement les acteurs de cette opération à l’envergure mondiale ? Un groupe structuré, ou une multitude d’opportunistes ? Les réponses manquent, alimentant la méfiance chez les usagers.
La question centrale qui taraude : pourquoi autant de victimes alors que seules les attaques contre les plateformes centralisées faisaient, jusqu’ici, les gros titres ? En 2024, plus de 200 piratages ont déjà ciblé l’écosystème crypto, cumulant près d’un milliard de pertes. Mais rien ne préparait la communauté à une faille aussi fondamentale touchant un produit “hors ligne”. Faut-il y voir une évolution inquiétante du savoir-faire des hackers, ou un aveu de faiblesse des fabricants ?
Même les solutions offline vantées pour leur invulnérabilité s’avèrent faillibles face à des failles insoupçonnées.
C’est précisément cette supposée invulnérabilité qui a volé en éclats. Le concept même du hardware wallet Coldcard était de placer la clé secrète, ou phrase de récupération, sur un support non connecté à internet, à l’abri de tous. Cependant, des chercheurs en sécurité ont dévoilé que la génération de ces fameuses phrases était prévisible, rendant la tâche des hackers trivialement simple : il suffisait de “deviner” la clé au lieu de la forcer. La parade a-t-elle été vraiment imprévisible pour les concepteurs ? Ou s’agit-il d’une erreur de négligence dans la programmation ?
Ce qui choque dans cette affaire, c’est le témoignage direct de victimes comme Jonathan Goodman. Malgré une prudence extrême – clés stockées dans des coffres, appareils isolés, aucune divulgation de phrase secrète – des millions disparaissent en quelques clics. L’origine du problème : une seule ligne vulnérable dans le code, datant de 2021, exploitée à grande échelle sans que personne ne s’en rende compte. Est-ce la preuve qu’aucun système de sécurité ne devrait être considéré comme totalement fiable, ou un cas isolé qui ternit inutilement la réputation du matériel offline ?
Face à la crise, la société Coinkite n’a eu d’autre choix que d’alerter publiquement ses clients : mise à jour immédiate de l’appareil, et génération d’une nouvelle phrase secrète. Mais trop tard pour de nombreux utilisateurs. Pourquoi ce délai dans l’aveu et la prévention ? Et quelles conséquences à long terme pour la confiance dans l’écosystème ?
Derrière ces attaques, une interrogation demeure : comment la course à la sécurité dans le secteur crypto parviendra-t-elle à reprendre de l’avance sur les hackers, quand chaque innovation technique semble condamnée à se transformer, tôt ou tard, en maillon faible ?
Source : Techcrunch
