Coldcard : le pirate déplace 7,7 millions de dollars en bitcoins

Le pirate lié à la compromission de portefeuilles Coldcard a déplacé 7,7 millions de dollars en bitcoins issus de la troisième vague d’attaque. L’opération s’inscrit dans une campagne bien plus vaste : une analyse on-chain de Galaxy Research évoque 1 596 BTC volés sur environ 7 300 adresses. Ce nouveau mouvement ne constitue donc qu’une partie des fonds concernés. Voici ce que la blockchainBlockchainRegistre numerique decentralise et infalsifiable qui enregistre des transactions dans des blocs enchaines. révèle, comment les portefeuilles auraient été exposés et quelles précautions les utilisateurs peuvent prendre.

Le pirate de Coldcard déplace 7,7 millions de dollars en bitcoins

Le mouvement observé concerne 7,7 millions de dollars en BTC provenant de la troisième vague. Il montre que des fonds dérobés restent sous le contrôle de l’attaquant et peuvent être remis en circulation après leur vol.

La chronologie disponible distingue ce transfert de l’extraction initiale des bitcoins. Les fonds ont d’abord quitté les adresses compromises, avant qu’une partie attribuée à la troisième vague ne soit déplacée de nouveau. Cette séparation compte : une transaction ultérieure peut signaler le début d’une nouvelle étape sans prouver que les bitcoins ont déjà été vendus ou convertis.

L’activité on-chain, c’est-à-dire visible dans les données publiques de la blockchain, permet de suivre les montants entre les adresses. Elle ne révèle toutefois ni l’identité certaine de leur détenteur ni la raison d’un transfert. Toute interprétation de cette reprise d’activité doit conserver cette limite.

Trois vagues d’attaques et des milliers d’adresses concernées

Le déplacement de 7,7 millions de dollars ne résume pas la compromission. Galaxy Research fait état de trois vagues confirmées, auxquelles s’ajoutent plusieurs incidents plus limités.

D’après son analyse on-chain publiée sur X, l’ensemble aurait entraîné le vol de 1 596 BTC sur environ 7 300 adresses. Le nombre d’adresses ne correspond pas nécessairement au nombre de victimes : une même personne peut contrôler plusieurs adresses, tandis qu’un service peut en administrer pour plusieurs utilisateurs.

La distinction entre les vagues évite aussi de traiter tous les mouvements comme un incident unique. Chaque séquence peut correspondre à un groupe différent de portefeuilles exposés, à une nouvelle phase d’exploitation ou à une réorganisation des fonds déjà volés. Les éléments fournis ne permettent pas de trancher entre ces scénarios.

Pour un détenteur de Coldcard, l’absence de mouvement sortant ne suffit pas à exclure une exposition. Une clé compromise peut rester inutilisée jusqu’au moment choisi par l’attaquant.

Comment un portefeuille Coldcard peut être exposé ?

Coldcard est un portefeuille matériel conçu pour conserver les clés privées hors d’un appareil connecté en permanence. Ce stockage à froid réduit certains risques, mais il ne protège pas contre une sauvegarde révélée, un appareil altéré ou un firmware compromis.

Le firmware est le logiciel interne qui contrôle le fonctionnement du portefeuille. S’il est remplacé ou modifié de manière malveillante, il peut fausser les opérations affichées, affaiblir la génération des secrets ou faciliter leur récupération. Le mécanisme précis attribué à cette campagne n’est pas suffisamment détaillé dans les faits disponibles pour établir laquelle de ces possibilités s’est produite.

Cette affaire ne signifie pas que BitcoinBitcoinPremiere cryptomonnaie decentralisee, creee en 2009 par Satoshi Nakamoto. a été piraté. La compromission rapportée vise l’environnement de conservation des clés, pas les règles cryptographiques ni le registre du réseau Bitcoin. Une transaction signée avec une clé volée reste techniquement valide pour le protocole.

Ce que le cheminement des fonds peut révéler

Le réveil de bitcoins volés suggère que leur détenteur cherche à les déplacer, à les fragmenter ou à les convertir. Une conversion éventuelle vers l’ether via THORChain fait partie des trajectoires examinées, sans constituer à elle seule une preuve de blanchiment ou d’encaissement.

THORChain permet des échanges entre actifs de différentes blockchains. Un passage du bitcoin vers l’ether peut compliquer le suivi en obligeant les analystes à rapprocher plusieurs registres, mais il ne rend pas automatiquement les fonds invisibles. Les transactions restent observables sur les réseaux concernés, même si leur attribution devient plus incertaine.

Plusieurs explications demeurent possibles : préparation d’une vente, dispersion du risque, changement de méthode de conservation ou tentative de brouiller les pistes. La blockchain montre un cheminement, pas l’intention de celui qui l’organise. L’hypothèse d’une tentative de blanchiment doit donc rester présentée comme une analyse.

Les mesures à prendre si vous utilisez Coldcard

Si vous pensez que votre portefeuille a pu être concerné, traitez la clé privée comme potentiellement compromise. Une simple modification des réglages de l’appareil ne neutralise pas un secret déjà récupéré par un tiers.

Procédez dans cet ordre :

1. Vérifiez l’origine et l’intégrité du firmware installé.
2. Examinez l’historique des transactions et les adresses associées à votre portefeuille.
3. Sécurisez vos sauvegardes et recherchez toute copie exposée ou accessible.
4. Préparez une nouvelle configuration à partir d’un environnement considéré comme sain.
5. Transférez les avoirs potentiellement exposés vers des adresses générées avec de nouvelles clés.

Ne saisissez pas votre phrase de récupération sur un site ou un appareil connecté sous prétexte de vérifier votre exposition. Une sauvegarde saine ne doit jamais être communiquée à un tiers. En cas de doute sur le matériel ou le firmware, la priorité est d’isoler la configuration suspecte avant de recréer les clés.

Le transfert de 7,7 millions de dollars confirme surtout que cette campagne demeure active sur la blockchain, tandis que son ampleur se mesure à l’échelle des 1 596 BTC et des quelque 7 300 adresses recensées par Galaxy Research. Le bon réflexe consiste à distinguer les mouvements observables des intentions encore inconnues. Pour les utilisateurs potentiellement concernés, une migration vers des clés entièrement nouvelles offre une réponse plus solide qu’une surveillance passive des anciennes adresses. La suite dépendra des prochains mouvements on-chain et des précisions techniques susceptibles d’établir le mécanisme exact de la compromission.