Piratage de Coldcard : comment un flag de compilation a drainé 116 millions en bitcoins

Une seule ligne de firmware expédiée en mars 2021 a ordonné à chaque portefeuille matériel Coldcard d'ignorer sa puce de hasard dédiée. Pendant cinq ans, personne ne l'a remarqué. Puis un attaquant a forcé par force brute les graines faibles en 41 minutes, drainant 1 816 BTC de plus de 5 200 adresses en quatre vagues d'attaque. Cet incident est la plus grande exploitation de portefeuille matériel de l'histoire de la crypto, et il force l'ensemble du modèle d'auto-conservation du bitcoin à répondre à une question qu'il a évitée depuis sa création : qui audite le code qui génère vos clés ?

Personne n'a été victime de phishing. Aucun appareil n'a été volé. Aucune phrase de récupération n'a été écrite sur un post-it. Le portefeuille matériel Coldcard, l'appareil que les maximalistes du bitcoin recommandaient par-dessus tout pour le stockage à froid, a généré des clés privées faibles pendant cinq ans parce qu'un seul indicateur de build a ordonné au firmware d'ignorer sa puce de hasard dédiée. Un attaquant a compris comment deviner les graines résultantes, et le 30 juillet 2026, a commencé à vider les portefeuilles à un rythme qui ne laissait aucun temps pour réagir.

« Peut-être que la partie la plus difficile à propos de cela est que j'ai tout fait correctement », a écrit l'entrepreneur canadien Jonathan Goodman sur X après avoir perdu 18,25 BTC, d'une valeur d'environ 1,6 million de dollars canadiens, d'un Coldcard stocké dans un coffre-fort. Son message a été vu plus de 7,6 millions de fois. Le sentiment capture le cœur de la crise : les personnes qui ont perdu de l'argent n'étaient pas négligentes. C'étaient les détenteurs de bitcoin les plus soucieux de la sécurité de l'écosystème, et ils ont suivi toutes les pratiques recommandées sauf une qu'ils ne pouvaient pas connaître. Le firmware qui a généré leurs clés était cassé dès le jour de son expédition.

Les répercussions s'étendent bien au-delà des pertes immédiates. Le bitcoin reflue vers les échanges pour la première fois depuis l'effondrement de FTX. Les fabricants de portefeuilles matériels font face à des appels à des audits indépendants de leur code de génération de graines. Le directeur de la recherche sur les actifs numériques d'ARK Invest a qualifié l'espace matériel d'auto-conservation de « désastre ». Et le PDG de Coinkite a suggéré que l'intelligence artificielle a trouvé le bug, soulevant la question de savoir si chaque dépôt de code source ouvert de firmware est désormais une surface d'attaque que l'IA peut exploiter plus rapidement que les réviseurs humains ne peuvent défendre.

L'indicateur de build : comment une ligne de code a tout cassé

La défaillance technique est assez simple à expliquer en un seul paragraphe, ce qui la rend plus dommageable, pas moins. Le firmware de Coldcard définit une macro appelée MICROPY_HW_ENABLE_RNG et la définit à zéro parce que Coinkite fournit son propre wrapper de générateur de nombres aléatoires matériel. Une bibliothèque cryptographique de support appelée libngu vérifiait si la macro existait. Elle ne vérifiait pas si la macro était activée. Parce que la macro existait mais était définie à zéro, libngu a conclu que le hasard matériel était indisponible et est retombé sur le repli logiciel Yasmarang de MicroPython. Ce repli était initialisé à partir du numéro de série unique de la puce et des registres de minuterie et ne collectait aucune nouvelle entropie après l'initialisation.

La conséquence a été une réduction catastrophique de la force des clés. Une phrase de récupération BIP-39 de 12 mots est conçue pour encoder 128 bits d'entropie, un nombre si grand que le forcer par force brute nécessiterait plus d'énergie que le soleil n'en produira dans sa vie. Le repli Yasmarang, initialisé à partir d'un numéro de série de puce et de l'état de la minuterie, a produit environ 40 bits d'entropie effective sur le Mk3 et environ 72 bits sur les Mk4, Mk5 et Q. L'équipe de recherche en sécurité de Block, qui a publié une analyse technique détaillée, a fixé des plafonds conditionnels en dessous de 2^40,7 et 2^73,3 et a averti que ce dernier chiffre n'est pas équivalent à une sécurité cryptographique de 73 bits.

Quarante bits d'entropie signifient environ un billion de graines possibles. C'est un grand nombre pour l'intuition humaine, mais un nombre trivial selon les normes informatiques. Un cluster de GPU moderne peut énumérer un billion de candidats en quelques heures. L'attaquant n'avait pas besoin d'accès physique à un appareil. L'attaquant n'avait pas besoin d'intercepter une communication. L'attaquant avait seulement besoin de générer des graines candidates, d'en dériver les adresses bitcoin correspondantes, et de comparer ces adresses à la blockchain publique. Chaque correspondance était un portefeuille qui pouvait être vidé.

La faille a été livrée dans la version du firmware 4.0.1 en mars 2021. Elle a persisté à travers chaque version ultérieure du firmware jusqu'au correctif d'urgence du 31 juillet 2026. Chaque graine Coldcard générée pendant cette fenêtre de cinq ans sans l'option de lancer de dés manuel est potentiellement compromise. Coinkite estime que l'option de lancer de dés, où les utilisateurs lancent physiquement des dés au moins 50 fois et saisissent les résultats, contourne entièrement le code défectueux. L'entreprise affirme également qu'une phrase de passe BIP-39 forte crée un portefeuille séparé que les mots de la graine seuls ne peuvent pas atteindre. Mais comme l'a souligné Nick Neuman, PDG de Casa : « On ne peut tout simplement pas demander aux gens de lancer des dés pour être en sécurité avec leur auto-garde. C'est un non-départ pour 99 % des gens. »

Les quatre vagues : anatomie d'un balayage de 116 millions de dollars

L'attaque s'est déroulée en vagues distinctes, chacune plus grande que la précédente, suggérant soit un opérateur unique affinant son approche, soit plusieurs attaquants travaillant à partir de la même vulnérabilité.

La première vague a frappé le 30 juillet à environ 2 h 14 UTC. L'attaquant a balayé 594 BTC d'environ 500 adresses en 25 minutes, diffusant des transactions à un taux de frais uniforme de 30 sat/vB sans sorties de monnaie. Galaxy Research a noté qu'aucune autre transaction bitcoin au cours des 30 jours précédents ne portait la même signature de taux de frais plus absence de monnaie, rendant l'opérateur identifiable même s'il restait anonyme.

La deuxième vague a suivi dans les 48 heures, portant le total cumulé à 1 082 BTC provenant de 1 196 adresses. La construction des transactions correspondait étroitement à la première vague, ce qui a permis à Galaxy d'évaluer avec une grande confiance que le même opérateur était responsable.

La troisième vague a porté le total confirmé à 1 367 BTC provenant de 4 585 adresses, soit environ 89 millions de dollars. Galaxy a averti que la troisième vague ne devait pas être supposée impliquer le même attaquant, car les schémas de transaction divergeaient des deux premières vagues. TRM Labs a indépendamment identifié des différences dans la construction des transactions entre les vagues, ce qui suggère plusieurs opérateurs.

Une quatrième vague suspectée s'est déroulée tout au long du 4 août, balayant environ 449 BTC de 709 adresses selon le décompte révisé de Galaxy. Si elle est confirmée, les pertes cumulées atteignent environ 2 055 BTC, soit près de 130 millions de dollars. Galaxy a signalé environ 600 adresses suspectées contrôlées par l'attaquant aux enquêteurs fédéraux, aux sociétés de conformité et aux enquêteurs en cybersécurité.

Le blanchiment a été minime. TRM Labs a constaté que la plupart des fonds des victimes se regroupent sur un petit nombre d'adresses contrôlées par l'attaquant avec un mouvement ultérieur limité. Au 4 août, le seul blanchiment confirmé consistait en un dépôt unique de 64,9 BTC au service de coinjoin de Wasabi Wallet et 200 ETH déposés sur Tornado Cash. Un opportuniste a publié un message OP_RETURN sur la blockchain bitcoin proposant de blanchir les fonds volés pour des frais de 7 %. L'inaction relative suggère que les attaquants n'ont pas encore déterminé comment déplacer une somme assez importante pour attirer l'attention où qu'elle atterrisse.

La section qu'un concurrent ne pourrait pas écrire : ce que 40 bits d'entropie signifient réellement

La plupart des couvertures du piratage Coldcard décrivent la réduction de l'entropie comme un détail technique. C'est toute l'histoire, et l'arithmétique révèle pourquoi l'attaque était inévitable plutôt que simplement possible.

Une graine de 128 bits a 2^128 valeurs possibles, un nombre à 39 chiffres. Forcer brutalement cet espace n'est pas une question de puissance de calcul ou de patience. C'est physiquement impossible avec toute technologie qui obéit aux lois de la thermodynamique. C'est pourquoi les portefeuilles matériels fonctionnent du tout : la sécurité d'une graine correctement générée ne dépend pas du fait que l'appareil reste secret, que le firmware reste non compromis, ou que le fabricant reste digne de confiance. Elle dépend des mathématiques.

Une graine de 40 bits a 2^40 valeurs possibles : 1 099 511 627 776. Un billion. Un seul GPU NVIDIA H100 peut calculer environ 10 milliards de hachages SHA-256 par seconde. Dériver une adresse bitcoin à partir d'une graine candidate nécessite plusieurs opérations cryptographiques au-delà d'un simple hachage, mais l'ordre de grandeur tient. Un billion de candidats peut être épuisé en quelques minutes à quelques heures sur un cluster de GPU dont la location coûte quelques milliers de dollars.

Les appareils Mk4, Mk5 et Q avaient environ 72 bits d'entropie effective. C'est mieux que 40 bits mais toujours catastrophiquement en dessous de 128 bits. L'analyse de Block a fixé l'espace de recherche à environ quatre milliards de possibilités sous certaines contraintes, un nombre qui fonctionne sur du matériel ordinaire. La distinction compte : les propriétaires de Mk3 font face à une compromission quasi certaine si leurs adresses sont identifiées, tandis que les propriétaires de modèles plus récents font face à une menace probabiliste qui dépend de ce que l'attaquant sait sur l'identifiant unique de leur appareil, le moment de démarrage et les appels précédents au générateur de nombres aléatoires.

L'idée cruciale est que l'attaquant n'a pas besoin de savoir quelles adresses appartiennent aux utilisateurs de Coldcard. Chaque adresse bitcoin est publique. L'attaquant génère des graines candidates, dérive des adresses et les vérifie par rapport à l'ensemble de la blockchain. Toute correspondance est un portefeuille Coldcard confirmé avec une graine faible. L'attaque évolue linéairement avec la puissance de calcul et ne nécessite aucune intelligence sur les victimes individuelles. Galaxy Research a averti que « chaque appareil vulnérable sera finalement vidé » car l'attaquant peut parcourir tout l'espace de recherche à loisir.

C'est fondamentalement différent d'une attaque de phishing, d'un piratage d'échange ou d'une compromission de la chaîne d'approvisionnement. Ces attaques nécessitent de cibler des victimes spécifiques. L'exploit Coldcard cible les mathématiques. Chaque portefeuille généré sur un firmware affecté est vulnérable, quelle que soit la manière dont le propriétaire a stocké l'appareil, protégé la phrase de récupération ou suivi les meilleures pratiques de sécurité. La seule défense était une action que le fabricant n'a jamais dit aux utilisateurs de prendre : lancer des dés physiques.

L'inversion de l'auto-conservation : les bitcoins refluent vers les échanges

L'exploit Coldcard produit un changement de comportement qui aurait été impensable il y a 18 mois. Le bitcoin passe des portefeuilles en auto-conservation aux échanges centralisés, inversant une tendance qui a commencé lorsque FTX s'est effondré en novembre 2022 et s'est accélérée en 2023 et 2024 alors que les ventes de portefeuilles matériels ont grimpé.

Le transfert net de bitcoin des portefeuilles en auto-conservation vers les adresses d'échange a été positif chaque jour depuis le 31 juillet, selon les données de flux en chaîne. OKX a signalé des entrées record sur l'échange dans les jours suivant l'exploit. Le directeur de la conformité de l'échange, Jonathan Brockmeier, a déclaré que le comportement des clients avait changé « sensiblement » alors que les utilisateurs déplaçaient leurs actifs loin de l'auto-conservation.

L'inversion des flux ne se limite pas aux détenteurs particuliers paniqués. Les allocateurs institutionnels qui citaient auparavant l'auto-conservation comme un avantage de gestion des risques réévaluent. Les entrées des ETF bitcoin ont atteint 211,5 millions de dollars le 5 août, menées par IBIT de BlackRock et FBTC de Fidelity, ce qui suggère qu'au moins une partie des capitaux passe de la détention directe de bitcoin à des enveloppes réglementées qui éliminent entièrement le risque de gestion des graines.

Eric Balchunas, analyste principal des ETF chez Bloomberg, a fait valoir que les ETF bitcoin au comptant éliminent le problème de gestion des graines pour les investisseurs qui veulent une exposition au prix sans risque opérationnel. « Un ETF règle cela », a-t-il écrit. L'analyste en chaîne Willy Woo a contesté, arguant que l'auto-conservation reste la seule voie vers une propriété véritablement souveraine du bitcoin et que les enveloppes ETF introduisent un risque de contrepartie que le réseau bitcoin a été conçu pour éliminer.

Les données racontent une histoire plus spécifique que ce que l'un ou l'autre camp reconnaît. Les adresses qui renvoient des bitcoins vers les échanges penchent vers les portefeuilles à signature unique détenant entre 0,5 et 10 BTC, la fourchette la plus susceptible de représenter des détenteurs individuels qui ont utilisé un seul Coldcard comme stockage principal. Les portefeuilles multisignature et les adresses associées aux dépositaires institutionnels n'ont montré aucun mouvement comparable. La panique est concentrée sur le profil d'utilisateur exact pour lequel le Coldcard a été conçu : des individus techniquement compétents qui ont choisi l'auto-conservation plutôt que les échanges et se sont appuyés sur un seul appareil matériel comme seule couche de sécurité. L'ironie est précise. Les utilisateurs qui ont le plus fait confiance au matériel sont les plus exposés, tandis que les utilisateurs qui ont réparti la confiance sur plusieurs appareils et méthodes de génération de clés ne sont pas affectés.

La tension est réelle mais le cadrage est incomplet. Le piratage de Coldcard n'a pas exposé une faille dans l'auto-conservation en tant que concept. Il a exposé une faille dans l'implémentation de la génération de graines d'un fabricant. Vincent Bouzon, expert en cybersécurité chez Ledger, a établi la distinction explicitement : « Chaque portefeuille dépend en fin de compte d'un secret racine généré à partir d'une entropie de haute qualité. Cette génération doit être ancrée dans un matériel sécurisé, avec une architecture qui ne peut pas silencieusement dégrader vers une source logicielle non fiable. » Il a qualifié les alternatives de pires, décrivant les portefeuilles logiciels sur du matériel non sécurisé comme plus risqués et la garde centralisée comme « pas une propriété, c'est un IOU ».

La question de l'IA : un modèle a-t-il trouvé ce bug ?

La réponse de Coinkite à l'exploit incluait une affirmation qui a divisé la communauté de la sécurité. Le PDG Rodolfo Novak, connu sous le nom de NVK, a suggéré que l'attaquant avait utilisé l'IA pour découvrir la faille du firmware, et que la revue de code assistée par IA de Coinkite sur le même dépôt quelques semaines plus tôt n'avait rien trouvé.

« À tous les autres développeurs : nous croyons que c'est une réalité sobre du nouveau paradigme de l'IA », a écrit Novak. « La revue de code assistée par IA peut désormais trouver des bugs latents à une vitesse qui dépasse même les experts les plus chevronnés de l'industrie. » Il a ajouté : « Si votre firmware est open-source ou a déjà été public, supposez qu'il est déjà lu par les attaquants et les défenseurs. »

Les chercheurs en sécurité ont contesté cette interprétation. Un indicateur de compilation qui désactive un générateur de nombres aléatoires matériel est une erreur d'ingénierie humaine, soutiennent-ils, et une revue de code conventionnelle aurait dû le détecter des années avant qu'un modèle de langage ne lise le dépôt. Andrew Lazutkin, directeur technique de Tangem, a tiré une conclusion différente : « Cet incident est un bon exemple de pourquoi le firmware open-source ne devrait pas être automatiquement assimilé à une meilleure sécurité. »

L'attribution à l'IA importe moins que la question structurelle qu'elle soulève. Que l'attaquant ait utilisé l'IA, une analyse statique conventionnelle ou une revue manuelle, le résultat est le même : un bug qui est resté en évidence pendant cinq ans dans un dépôt open-source a été trouvé et exploité. Si les outils d'IA peuvent systématiquement scanner les dépôts de firmware pour des défauts d'entropie, des chemins de dégradation de l'aléa et des erreurs de configuration de compilation, alors chaque fabricant de portefeuilles matériels avec du code public fait face à une surface d'attaque élargie. La question n'est pas de savoir si l'IA a été impliquée dans cette attaque spécifique. La question est de savoir si l'IA rend cette classe d'attaques reproductible à grande échelle.

La chronologie soutient la préoccupation indépendamment du mécanisme. Le firmware de Coldcard est open-source depuis sa création. La macro MICROPY_HW_ENABLE_RNG et son affectation à zéro étaient visibles dans un dépôt GitHub public pendant cinq ans. De nombreux chercheurs en sécurité, auditeurs de firmware et la communauté plus large des développeurs Bitcoin ont eu accès au code pendant cette période. Aucun d'entre eux n'a détecté la faille. Le groupe de recherche Coinspect a publié ses conclusions sur Ill Bloom concernant les faiblesses PRNG dans les portefeuilles logiciels plus anciens début juillet 2026, une vulnérabilité distincte mais thématiquement identique qui a drainé plus de 5 millions de dollars de portefeuilles sur Bitcoin, Ethereum, Tron, Rootstock et Polygon. Le regroupement d'exploits liés à l'entropie en un seul mois suggère soit une recherche coordonnée, soit une approche analytique partagée qui révèle cette classe de bugs plus rapidement qu'elle n'a été trouvée historiquement.

Le contre-argument dans toute sa force

Le récit s'écrit tout seul : l'auto-conservation est cassée, les portefeuilles matériels ne peuvent pas être fiables, déplacez votre bitcoin vers un échange ou un ETF. Le contre-argument nécessite d'examiner ce que le piratage de Coldcard a réellement prouvé et ce qu'il n'a pas prouvé.

Premièrement, ce n'était pas un échec de l'auto-conservation. C'était un échec de l'ingénierie du firmware d'une seule entreprise. Le protocole Bitcoin a fonctionné exactement comme prévu. La cryptographie a fonctionné exactement comme prévu. La vulnérabilité existait dans la configuration de compilation de Coinkite, pas dans le modèle de sécurité des portefeuilles matériels en tant que catégorie. Ledger, Trezor et Block ont confirmé que leurs appareils ne sont pas affectés. La leçon est que la génération de la graine doit être vérifiée indépendamment, pas que la génération de la graine est intrinsèquement peu fiable.

Deuxièmement, l'alternative de l'échange comporte ses propres risques catastrophiques. FTX a perdu 8 milliards de dollars de fonds clients. Mt. Gox a perdu 850 000 BTC. Celsius, Voyager et BlockFi ont collectivement perdu des milliards de plus. L'exploit de Coldcard a drainé 116 millions de dollars sur 5 200 adresses en cinq jours. FTX a drainé 8 milliards de dollars de millions d'utilisateurs en une seule nuit. La comparaison d'échelle favorise l'auto-conservation même dans son pire mode de défaillance.

Troisièmement, les configurations multisignatures auraient empêché chaque vol lors de cette exploitation. Un portefeuille multisig nécessite plusieurs clés indépendantes pour autoriser une transaction. Si une seule clé était générée sur un appareil non-Coldcard, l'attaquant n'aurait pas pu effectuer le balayage. Casa, Unchained et d'autres fournisseurs multisig ont signalé zéro perte de clients due à l'exploitation de Coldcard, car leurs architectures répartissent la génération de clés sur des appareils conçus indépendamment par différents fabricants. Un portefeuille multisig 2-sur-3 utilisant un Coldcard, un Ledger et un Trezor aurait été immunisé contre cette attaque même si la clé Coldcard était entièrement compromise, car l'attaquant aurait encore besoin de compromettre indépendamment l'une des deux autres clés. Le piratage de Coldcard est un argument en faveur du multisig, pas un argument contre l'auto-conservation.

Quatrièmement, la réaction du prix du bitcoin sape le cadrage catastrophique. Le bitcoin s'échangeait près de 64 300 $ à travers les quatre vagues d'attaque et n'est pas descendu sous 63 800 $ depuis que l'exploitation a été rendue publique. Le marché considère le piratage de Coldcard comme un événement spécifique à l'entreprise, pas comme une menace systémique pour le modèle de sécurité du bitcoin. Si le marché croyait que l'auto-conservation était fondamentalement brisée, la réponse des prix aurait été sévère. Ce ne fut pas le cas.

Ce qui invaliderait la thèse de l'auto-conservation : si plusieurs fabricants de portefeuilles matériels présentaient simultanément la même classe de défaut d'entropie, suggérant une défaillance systémique plutôt qu'idiosyncratique. Si la surface d'attaque s'étend à des dispositifs dotés de générateurs de nombres aléatoires matériels qui réussissent tous les tests existants mais contiennent des biais subtils. Ou si la charge opérationnelle de la gestion des clés s'avère définitivement au-delà des capacités des utilisateurs individuels, faisant de la conservation professionnelle la seule option viable pour la plupart des détenteurs de bitcoin, indépendamment des avantages théoriques de sécurité de l'auto-conservation.

Ce qu'il faut surveiller

• Le décompte final des pertes de Galaxy Research après la confirmation de la quatrième vague. L'écart entre 1 596 BTC (confirmés) et 2 055 BTC (estimés) représente environ 30 millions de dollars de pertes non vérifiées. Si la quatrième vague est confirmée et que d'autres vagues suivent, le total pourrait dépasser 150 millions de dollars et faire passer cet incident devant l'exploit d'aveuglement de signature de Bybit en 2025 en termes d'impact.
• Mouvement en chaîne des bitcoins contrôlés par l'attaquant. Environ 90 % des fonds volés restent immobiles. Lorsque l'attaquant commencera à blanchir, la méthode choisie (mélange, ponts inter-chaînes, bureaux de gré à gré) indiquera son niveau de sophistication et pourrait permettre l'attribution. TRM Labs surveille en temps réel.
• Tendances des flux d'échange au cours des 30 prochains jours. L'inversion des flux post-Coldcard pourrait être une réponse de panique temporaire ou le début d'un changement structurel. Si les flux nets vers les échanges persistent au-delà d'août, cela suggère un changement durable dans la manière dont les détenteurs de bitcoin pèsent le risque d'auto-conservation par rapport au risque de contrepartie.
• Adoption d'audits indépendants par les fabricants de portefeuilles matériels. Le directeur de la sécurité de Kraken, Nick Percoco, a appelé à des tests indépendants de la génération de graines dans le firmware de production. Si Ledger, Trezor et d'autres fabricants adoptent des audits d'entropie par des tiers comme pratique standard, cela valide la préoccupation systémique. S'ils ne le font pas, l'industrie parie que la même classe de bug n'apparaîtra pas ailleurs.
• Réponse réglementaire à la défaillance de l'auto-conservation. La SEC et la CFTC n'ont pas commenté l'exploit Coldcard. Si les régulateurs utilisent l'incident pour affirmer que l'auto-conservation ne convient pas aux investisseurs particuliers, cela pourrait accélérer la pression vers des cadres de conservation obligatoires pour les actifs numériques.

Questions fréquemment posées