Des milliers de comptes ont été piratés et plus de 100 millions de dollars américains (environ 140 millions de dollars canadiens) en bitcoins ont été volés après la découverte d’une faille dans les dispositifs de sécurité vendus par une entreprise basée au Canada.
Cette entreprise, Coinkite Inc., vend des porte-monnaie pour bitcoins qui utilisent du matériel et des logiciels pour conserver les fonds hors ligne, ce qui est censé offrir une meilleure protection contre les pirates. Il s’agit d’un appareil portable, souvent appelé «porte-monnaie matériel» (hardware wallet).
Ce texte est une traduction d’un article de CTV News
L’entreprise a annoncé à la fin de la semaine dernière que les porte-monnaie de certains utilisateurs d’appareils Coldcard avaient été compromis lors d’un piratage.
Le 30 juillet, Galaxy Research, une entreprise de services financiers numériques, a découvert qu’en l’espace de 41 minutes, des pirates informatiques avaient dérobé plus de 1000 bitcoins provenant de plus de 1000 adresses, soit l’équivalent d’environ 99 millions de dollars canadiens.
Lundi, plus de 1500 jetons provenant de 7300 adresses avaient été dérobés, a rapporté Galaxy Research. Le piratage s’est déroulé en trois vagues confirmées, auxquelles s’ajoutent 14 incidents de moindre ampleur, a-t-elle indiqué dans une publication sur les médias sociaux.
La première vague a d’abord été observée par les ingénieurs de Block, Inc. — une autre entreprise de services financiers numériques — puis corroborée par Galaxy Research à partir des rapports des victimes. Soixante-treize victimes ont demandé de l’aide pour retrouver leurs bitcoins, a indiqué la société financière.
Cependant, Galaxy Research a précisé que ces conclusions reposaient sur une «analyse de la chaîne de blocs» et qu’elle n’avait pas vérifié si tous les portefeuilles touchés avaient été créés à l’aide du logiciel compromis.
Selon un avis de sécurité publié par CoinKite, le problème trouvait son origine dans une mise à jour logicielle publiée en mars 2021. De plus, une analyse du rapport réalisée par l’équipe d’ingénierie de Block a révélé que certaines versions de Coldcards auraient pu voir leurs fonctionnalités clés affaiblies à la suite d’une erreur de codage.
Ce bogue logiciel aurait permis à des pirates informatiques chevronnés de dérober plus facilement des bitcoins dans certaines situations sans même avoir à toucher physiquement les appareils, a précisé Block dans son rapport. L’entreprise a publié ce rapport car les attaques pourraient toujours être en cours.
«Nous devons mieux faire pour la communauté»
Le chef de la direction de Coinkite, Rodolfo Novak, a présenté ses excuses dans une publication sur les médias sociaux, affirmant que l’entreprise avait «le cœur brisé» et qu’elle assumait «l’entière responsabilité du bogue du micrologiciel».
«Je suis désolé et je suis anéanti», a écrit M. Novak. «Notre équipe a le cœur brisé par les nouvelles d’hier.»
Dans un communiqué de presse publié dimanche, l’entreprise a indiqué que son équipe avait pris contact avec les clients et les aidait à transférer les fonds pouvant l’être en toute sécurité, car ceux-ci restaient exposés à un risque. Elle a également mis à disposition un nouveau logiciel pour les clients touchés.
«Nous avons également été en contact direct avec l’ensemble de la communauté des porte-monnaie matériels et de l’autogestion, y compris d’autres développeurs, des chercheurs et des personnes qui ont longuement réfléchi à ce type de défaillance», a déclaré Coinkite.
L’entreprise a précisé que le stock restant de Coldcard équipé du logiciel vulnérable avait été «détruit» et que les expéditions avaient été suspendues dès la détection du problème logiciel.
Bien que les problèmes initiaux aient principalement concerné les appareils Coldcard, l’entreprise a depuis ajouté d’autres modèles et versions logicielles à la liste des produits touchés.
«Il y a là de véritables leçons à tirer pour nous en tant qu’entreprise. Nous devons mieux faire pour la communauté, et nous commençons à comprendre les nombreuses façons dont nos meilleurs efforts et nos conceptions ont pu permettre que cela se produise», a indiqué Coinkite.
