L'activité onchain du Bitcoin a atteint son plus haut niveau de 2026, les chercheurs ayant lié cette hausse à l'exploitation en cours du portefeuille Coldcard, avertissant que des pics similaires ont historiquement coïncidé avec des points de retournement du marché local.
Résumé
- L'activité onchain du Bitcoin a atteint son plus haut niveau de 2026 alors que l'exploitation du portefeuille Coldcard continue de se dérouler.
- K33 a déclaré que des pics similaires dans l'activité du Bitcoin sont historiquement apparus autour des sommets et des creux locaux du marché.
- Galaxy Research a confirmé le vol de 1 596 BTC provenant d'environ 7 300 adresses, avec des pertes pouvant potentiellement atteindre environ 2 055 BTC.
- La violation de Coldcard a incité certains utilisateurs à transférer des fonds vers des échanges centralisés tout en soulevant de nouvelles questions sur la sécurité des portefeuilles matériels.
K33 Research a déclaré que près de 890 000 BTC ont été déplacés sur la chaîne au cours des sept derniers jours, soit la plus haute offre active sur sept jours enregistrée cette année, même si le Bitcoin a continué à se négocier dans l'une de ses fourchettes de prix les plus étroites de ces dernières années.
La note de recherche intervient alors que les enquêteurs continuent d'élargir la portée de la violation du portefeuille matériel Coldcard. Galaxy Research a déclaré mardi qu'au moins 15 attaquants différents ont maintenant exploité la vulnérabilité, tandis que sa dernière estimation confirmée s'élève à 1 596 BTC volés sur environ 7 300 adresses lors de trois vagues d'attaques vérifiées. La société a ajouté que les pertes pourraient atteindre environ 2 055 BTC, soit environ 130 millions de dollars, si une quatrième vague suspectée est confirmée par des rapports de victimes supplémentaires.
Bien que des observations antérieures de la blockchain aient suggéré des pertes plus importantes, Galaxy a déclaré avoir affiné ses estimations après avoir séparé les rapports de victimes confirmés de l'activité suspectée sur la chaîne. L'équipe de recherche a également déclaré qu'environ 90 % des bitcoins volés n'ont pas été déplacés depuis les attaques, donnant aux enquêteurs plus de temps pour surveiller les fonds tout en coordonnant avec les échanges de crypto-monnaies, les sociétés de sécurité de la blockchain et les forces de l'ordre américaines.
L'exploitation de Coldcard a entraîné une activité inhabituelle du Bitcoin
Malgré une action des prix relativement calme, Vetle Lunde, responsable de la recherche chez K33, a déclaré que le rythme des transferts de Bitcoin s'est fortement accéléré.
Selon le rapport, le Bitcoin a enregistré sa fourchette de négociation la plus étroite sur 30 jours (du plus haut au plus bas) depuis 2023, tandis que la volatilité réalisée est tombée en dessous de celle du Nasdaq 100. Même ainsi, l'offre active a grimpé rapidement alors que les utilisateurs concernés déplaçaient leurs pièces après l'incident de Coldcard.
Lunde a déclaré que l'augmentation était « très probablement due aux attaques Coldcard », ajoutant que l'incident a « probablement accru les inquiétudes concernant d'autres portefeuilles matériels, y compris Ledger et Trezor, incitant certains propriétaires à envisager des dépositaires centralisés ou des configurations multisignatures. »
Des reportages séparés couverts par crypto.news ont également souligné un changement de comportement en matière de garde. Jonathan Brockmeier, directeur de la conformité chez OKX, a déclaré à la publication que l'échange a connu des entrées record à la suite de l'incident Coldcard, certains utilisateurs ayant déplacé leurs actifs de portefeuilles matériels vers une garde centralisée.
« Nous constatons des niveaux record d'entrées vers les échanges centralisés après Coldcard », a déclaré Brockmeier. « C'est intéressant – c'est en quelque sorte le côté opposé de FTX. FTX se produit, et tout le monde déplace son argent vers l'auto-garde, et cela revient maintenant. »
Il a déclaré que les échanges peuvent fournir des équipes de sécurité dédiées et des systèmes de surveillance automatisés pour les utilisateurs qui préfèrent une garde gérée, tout en ajoutant que l'auto-garde reste une option pour les clients disposés à gérer leur propre sécurité.
L'activité du Bitcoin a précédemment accompagné des points de retournement
Au-delà de l'exploitation immédiate, K33 a déclaré que des poussées similaires d'activité onchain sont apparues à plusieurs reprises autour des retournements majeurs du marché.
Le rapport a constaté que les périodes où l'offre active sur sept jours entrait dans le top 10 % des observations par rapport à son historique glissant sur 365 jours coïncidaient avec des sommets et des creux locaux pendant le marché baissier de 2022, les marchés haussiers de 2024 et 2025, et le marché baissier de 2026.
« L'intuition derrière cette observation est claire : la panique est visible sur la chaîne », a écrit Lunde.
Il a expliqué que les marchés en baisse poussent souvent les détenteurs à transférer leurs pièces vers des bourses pour limiter les pertes supplémentaires, tandis que la hausse des prix encourage à la fois la prise de bénéfices et les achats motivés par la peur de manquer une opportunité. Le rapport a également noté que deux des plus fortes augmentations de l'offre active cette année se sont produites lors des ventes massives de février et de juin, tandis qu'une autre augmentation fin avril était plus probablement liée à des rotations d'adresses de routine qu'à des transferts vers des bourses.
K33 n'a pas affirmé que l'activité élevée à elle seule prédit la direction future des prix, mais a déclaré que la relation historique rend le comportement actuel sur la chaîne digne d'être surveillé alors que l'enquête sur Coldcard se poursuit.
La faille de Coldcard a exposé une faiblesse dans la génération des graines
L'attaque provient d'une faille dans le firmware de Coldcard que Coinkite a divulguée après avoir découvert que les appareils concernés généraient des graines de portefeuille avec un générateur de nombres pseudo-aléatoires déterministe au lieu du générateur de nombres aléatoires matériel véritablement aléatoire prévu.
Selon l'examen technique de Coinkite, la vulnérabilité a été introduite en mars 2021 lorsque les ingénieurs ont intégré une nouvelle bibliothèque cryptographique dans le firmware du portefeuille. Bien que le générateur de nombres aléatoires matériel ait continué à fonctionner ailleurs dans le logiciel, la création de portefeuilles s'est appuyée par erreur sur le générateur déterministe de MicroPython, réduisant ainsi l'entropie utilisée pour créer de nouvelles phrases de récupération.
L'équipe d'ingénierie Bitcoin et de sécurité de Block est parvenue indépendamment à la même conclusion après avoir examiné le firmware. La société a déclaré que les appareils vulnérables appelaient le repli déterministe de MicroPython lors de la création du portefeuille au lieu du générateur de nombres aléatoires matériel STM32, bien qu'elle ait noté qu'elle n'avait pas terminé les tests sur tous les modèles concernés avant de publier ses conclusions, car des vols actifs étaient déjà en cours.
Coinkite estime que les portefeuilles Mk2 et Mk3 concernés peuvent fournir environ 40 bits d'entropie effective, tandis que les appareils Mk4, Mk5 et Coldcard Q vulnérables peuvent générer environ 72 bits, bien en dessous du niveau de sécurité de 128 bits prévu.
Des mises à jour d'urgence du firmware sont désormais disponibles pour toutes les gammes de produits concernées. Cependant, Coinkite a déclaré que l'installation du firmware mis à jour ne protège que les portefeuilles créés après le correctif. Les propriétaires dont les phrases de récupération ont été générées avec un firmware vulnérable ont reçu pour instruction de créer entièrement de nouveaux portefeuilles, de vérifier l'adresse de destination avec une petite transaction de test, et de transférer leurs bitcoins uniquement après avoir confirmé le transfert.
L'examen minutieux de l'industrie s'est étendu au-delà de Coldcard
L'incident a également suscité un renouveau de la discussion sur la manière dont le firmware des portefeuilles matériels devrait être vérifié avant sa publication.
Écrivant sur X, Nick Percoco, directeur de la sécurité de Kraken, a fait valoir que les fabricants ne devraient pas être les seuls responsables de la validation de la manière dont le firmware de production génère les phrases de récupération des portefeuilles. Il a souligné les normes NIST SP 800-90B et BSI AIS-31 de l'Allemagne, affirmant qu'une vérification de bout en bout comparable n'est pas systématiquement appliquée au firmware des portefeuilles matériels malgré l'importance d'une génération sécurisée des graines.
David Schwartz, directeur technique émérite de Ripple, a également commenté l'incident, le décrivant comme un exemple de risque extrême où une défaillance technique rare peut produire des pertes bien au-delà de ce que les utilisateurs attendent. Schwartz a comparé la brèche à l'effondrement de MF Global en 2011, arguant que bien que l'auto-conservation élimine la dépendance aux intermédiaires financiers, les utilisateurs dépendent toujours du bon fonctionnement du matériel et du firmware.
Il a également noté que, contrairement aux clients des institutions financières réglementées, les propriétaires de Coldcard concernés n'ont actuellement aucun mécanisme de recouvrement comparable après que des fonds ont été volés via des graines de portefeuille compromises.
