Galaxy Research a publié une analyse détaillée de la série d’attaques ciblant des utilisateurs du hardware wallet Coldcard. Selon leurs estimations, 1 596 BTC auraient été dérobés auprès d’environ 7 300 adresses, répartis en trois vagues principales confirmées et une quatorzaine d’incidents de moindre ampleur.
Si l’on intègre les éléments suspectés mais non encore confirmés par des victimes, le total grimperait à environ 2 000 BTC, soit près de 130 millions de dollars.
Un graphique publié par l’équipe montre l’ensemble des événements identifiés, positionnés selon leur date de début et dimensionnés en fonction du nombre d’adresses drainées. Les trois vagues organisées dominent clairement le paysage ; les marqueurs plus petits correspondent à des attaques isolées.
- La Vague 1 a d’abord été repérée par des ingénieurs de Blocks, puis confirmée grâce aux signalements de victimes.
- Les Vagues 2 et 3 ont été découvertes grâce aux retours des victimes, qui continuent d’affluer.
- La majorité des victimes n’apparaissent que dans une seule vague, même si certaines ont été touchées à deux reprises.
73 signalements ont permis d’identifier 14 empreintes supplémentaires, qui pourraient correspondre à des attaquants opportunistes distincts exploitant la même vulnérabilité désormais connue.
Galaxy Research signale également une Vague 4 potentielle, non encore confirmée par des victimes spécifiques. Elle aurait concerné des centaines d’adresses et près de 389 BTC sur une période d’environ deux heures et demie, avec un taux de transactions anormalement élevé. L’équipe lui attribue une confiance moyenne à élevée, mais préfère ne pas l’intégrer pour l’instant dans le bilan officiel faute de confirmations directes.
A noter : 90 % des bitcoins volés n’ont pas encore été déplacés. Dans les trois premières vagues confirmées, ce taux atteint 100 %. Galaxy Research a transmis les adresses d’attaquants et de victimes confirmées aux autorités fédérales américaines, aux exchanges, aux sociétés de compliance et d’investigation, ainsi qu’à d’autres acteurs concernés. L’identification continue de nouvelles adresses d’attaquants reste cruciale, notamment face à l’émergence d’acteurs opportunistes.
Galaxy Research insiste : l’attaque n’est pas terminée. Les utilisateurs de Coldcard qui ne sont pas certains de la sécurité de leur appareil sont invités à migrer rapidement leurs fonds vers une adresse sûre.
Source : https://x.com/glxyresearch/status/2084411904924045370
