Dans la nuit du 30 au 31 juillet 2026, un attaquant a commencé à vider des portefeuilles Bitcoin protégés par le boîtier Coldcard Mk3 en exploitant une faille dans la génération des clés du firmware. Trois jours plus tard, le bilan s’est nettement alourdi : plus de 1 300 bitcoins ont été dérobés, soit environ 88 millions de dollars, et les détenteurs se ruent vers les plateformes d’échange par précaution.
L’essentiel
Que s’est-il passé sur les portefeuilles Coldcard ?
Coldcard est un portefeuille matériel très utilisé par les détenteurs de bitcoins soucieux de garder leurs clés hors ligne, loin des plateformes d’échange.
Selon les analyses de Galaxy Research, menées en lien avec les équipes de sécurité de Block et relayées par Coindesk, l’attaque s’est déroulée en plusieurs vagues depuis le jeudi 30 juillet, la première ayant balayé environ 500 adresses en 25 minutes.
Le fabricant Coinkite a confirmé l’ampleur du problème et publié dans la foulée un correctif de firmware en urgence.
D’où vient la faille technique ?
Le défaut a été introduit avec le firmware 4.0.0 de Coldcard, sorti en mars 2021.
À partir de cette version, l’appareil contournait son propre générateur matériel de nombres aléatoires. Il utilisait à la place un mécanisme logiciel bien plus faible, fondé sur des données non secrètes de la puce comme le numéro de série et les registres d’horloge.
Sont concernés les Coldcard Mk3 ayant généré leur seed avec un firmware compris entre la version 4.0.1 et la version 5.0.3. Les utilisateurs ayant ajouté au moins 50 lancers de dés indépendants lors de la création de leur seed sont considérés comme protégés.
Qui est concerné et que faire concrètement ?
Si vous possédez un Coldcard Mk3 et que vous avez généré votre seed sur une version de firmware vulnérable, votre portefeuille peut être exposé même sans mouvement de fonds visible pour l’instant.
Coinkite recommande de migrer sans attendre vers un nouveau seed créé sur un firmware corrigé, puis de transférer les fonds vers cette nouvelle adresse.
Vérifiez la version de firmware de votre Coldcard Mk3, consultez l’avis officiel de Coinkite, et si votre appareil est concerné, générez un nouveau seed puis déplacez vos bitcoins avant toute autre opération.
Les modèles plus récents, Mk4, Q et Mk5, ne sont pas touchés d’après l’analyse du fabricant.
Le bilan s’alourdit : plus de 1 300 bitcoins volés au total
Trois vagues de vidage ont finalement touché plus de 1 000 adresses, pour un total dépassant 1 300 bitcoins, contre les 594 bitcoins recensés dans les premières heures.
Une quatrième vague de mouvements suspects, ciblant cette fois des soldes plus modestes avec des schémas de transaction plus élaborés, a démarré début août selon Coindesk.
Pourquoi les détenteurs de bitcoins retournent vers les exchanges ?
Contrairement à un effondrement de plateforme comme celui de FTX, cet incident pousse les détenteurs à faire l’inverse de leur réflexe habituel : ils replacent leurs bitcoins sur des exchanges plutôt que de les en retirer.
Les dépôts de bitcoins en petites transactions ont bondi à 7 300 BTC le 31 juillet, un niveau inédit depuis février. Le nombre d’adresses actives a grimpé de 645 000 à près d’un million en une seule journée, selon les données relayées par Coindesk.
Redéposer ses bitcoins sur un exchange ne supprime pas le risque, il le déplace : vous restez exposé à un piratage de la plateforme elle-même plutôt qu’à une faille de votre portefeuille matériel.
Une class action se prépare contre Coinkite
Selon Cointribune, plusieurs victimes commencent à regrouper leurs informations en vue d’une action collective contre Coinkite, le fabricant du boîtier. Cette démarche est coordonnée par Thomas Braziel, associé gérant du fonds 117 Partners.
Aucune plainte formelle n’a été déposée à ce stade dans le cadre de cette action collective, à l’exception d’une plainte isolée déposée par un défenseur du bitcoin au Brésil auprès de la police locale. Les avis d’experts divergent sur la responsabilité juridique du fabricant, certains estimant qu’une telle faille aurait pu être anticipée et corrigée plus tôt.
Une faille distincte des risques liés aux plateformes d’échange
Cet incident touche l’auto-conservation, pas une plateforme d’échange centralisée. Il rappelle qu’un portefeuille matériel protège contre le piratage d’un exchange, mais reste dépendant de la qualité d’implémentation de son fabricant.
Selon Journal du Coin, Coinkite a publié un avis formel le 31 juillet concernant les Coldcard Mk3 sous firmware 4.0.1 à 5.0.3.
En résumé
Le piratage des portefeuilles Coldcard Mk3 a fini par coûter plus de 1 300 bitcoins, soit environ 88 millions de dollars, à plus de 1 000 adresses en plusieurs vagues successives. Une class action se prépare contre Coinkite, le fabricant.
Si vous utilisez ce boîtier, vérifier votre version de firmware et migrer votre seed reste la seule action utile dans l’immédiat, que vous ayez ou non déjà déplacé vos fonds vers un exchange par précaution.
