À la suite d'une attaque ciblant les portefeuilles matériels Coldcard vulnérables, des malfaiteurs ont volé au moins 1778,84 $BTC (112,7 millions de dollars). Aucun nouveau cas de piratage n'a été enregistré après le 6 août, a rapporté Galaxy Research.
Les nouveaux incidents de pirates exploitant des vulnérabilités dans le portefeuille matériel Coldcard se sont apaisés, bien que le bilan des pertes continue d'augmenter à mesure que de nouvelles victimes se manifestent.https://t.co/Q1X191mcGi
— Galaxy Research (@glxyresearch) 14 août 2026
Attaque sur Coldcard
Les chercheurs de la société ont contacté 190 victimes et confirmé le vol de bitcoins provenant de plus de 8600 adresses. Cependant, le préjudice final pourrait être nettement plus élevé : si l'on tient compte des épisodes non encore confirmés, le montant volé est estimé à 2417,35 $BTC, soit environ 153 millions de dollars.
L'attaque a débuté au moins le matin du 30 juillet 2026. Les malfaiteurs ont systématiquement restauré les phrases de récupération (seed phrases) générées par les appareils Coldcard vulnérables, avant de transférer les fonds vers des adresses sous leur contrôle.
La cause était une erreur dans le logiciel. En 2021, le fabricant de Coldcard, la société Coinkite, avait mis à jour le micrologiciel des appareils, modifiant le mécanisme de génération de l'entropie cryptographique. En raison d'un bogue, le nouveau générateur de nombres aléatoires fonctionnait incorrectement, et les appareils passaient discrètement à une autre source d'entropie, qui s'est avérée insuffisante pour protéger les clés privées.
En substance, le problème existait depuis plusieurs années, mais ne s'est manifesté que maintenant : disposant de suffisamment de ressources de calcul, les malfaiteurs ont pu reproduire les clés privées créées sur les appareils vulnérables.
Les nouvelles attaques ont cessé
Galaxy note que parmi les chaînes d'attaques confirmées, la dernière date du 6 août. Après cette date, de nouvelles victimes continuent de contacter les chercheurs, mais aucun nouveau cas de piratage confirmé n'a été découvert pour l'instant.
Les chercheurs supposent que les attaques ont cessé pour deux raisons : les propriétaires des portefeuilles vulnérables ont eu le temps de transférer leurs fonds vers de nouvelles adresses, ou la majeure partie des fonds disponibles avait déjà été volée. Les experts recommandent aux utilisateurs qui stockent encore des bitcoins sur des Coldcard à signature unique de déplacer immédiatement leurs actifs vers de nouvelles adresses.
Cependant, il ne s'agit apparemment pas d'un seul malfaiteur. Galaxy a découvert au moins 33 traces d'activité supplémentaires et estime qu'il est hautement probable que la vulnérabilité ait été exploitée simultanément par plusieurs attaquants.
La majeure partie des bitcoins reste entre les mains des pirates
Sur les 1778 $BTC environ confirmés comme volés, environ 1531 $BTC se trouvent toujours sur des adresses contrôlées par les malfaiteurs. Environ 246 $BTC supplémentaires ont été déplacés après le vol.
Environ 65% de ces fonds sont passés par des transactions CoinJoin, qui compliquent le suivi de l'origine des coins. Les 35% restants ont continué à circuler sur la blockchain, notamment selon le schéma « Peel Chain », largement utilisé pour le blanchiment de cryptomonnaie. Son principe de fonctionnement consiste à « détacher » de manière répétée de petites micro-transactions d'une somme importante, tandis que le reste principal est transféré sur une nouvelle adresse.
Une petite partie des bitcoins volés a été repérée sur des plateformes d'échange centralisées et des ponts inter-chaînes (cross-chain bridges). Galaxy a transmis des listes d'adresses aux bourses, aux entreprises spécialisées dans la conformité et les investigations, ainsi qu'aux forces de l'ordre.
Un coup porté à l'idée de l'autocustodie
La particularité de l'incident ne réside pas seulement dans l'ampleur des pertes. Les victimes étaient principalement des utilisateurs qui prenaient très au sérieux l'idée de l'autocustodie du bitcoin.
Galaxy note que les personnes touchées n'avaient pas envoyé leurs coins sur des bourses douteuses, n'avaient pas utilisé de protocoles DeFi risqués et n'avaient pas tenté de gagner de l'argent avec des instruments à haut rendement. Ils stockaient leurs bitcoins dans des portefeuilles matériels, considérés comme l'une des méthodes de stockage de cryptomonnaie les plus sûres.
En conséquence, l'incident a porté un coup au récit même de l'autocustodie. Selon les données de Galaxy, après le début des attaques, le nombre de petits transferts de bitcoins vers les bourses a augmenté, et au cours des quatre premiers jours, plus de 22 000 $BTC sont arrivés sur des plateformes centralisées. Au 8 août, le solde cumulé sur les bourses avait atteint 3,683 millions de $BTC — un record historique.
La signature multi-signature au lieu d'un point de défaillance unique
Une conséquence inattendue de l'attaque a été l'augmentation de l'intérêt pour les portefeuilles multi-signature (multisig). Galaxy souligne qu'aucun vol confirmé n'a été commis à partir d'adresses protégées par une signature multi-signature.
Les représentants des services Casa et Anchorwatch ont signalé une forte augmentation du nombre de nouveaux clients et du volume de bitcoins transférés vers des stockages multi-signature. Le cofondateur d'Unchained, Dhruv Bansal, estime qu'il est incorrect de percevoir ce qui s'est passé comme une victoire des services de garde (custodial) sur les solutions non-custodiales. Selon lui, le vrai problème est l'existence d'un point de défaillance unique : il peut s'agir d'une bourse, d'un fabricant de portefeuille matériel ou de l'utilisateur lui-même.
Ainsi, l'incident incite plutôt à reconsidérer l'approche même de l'autocustodie. Au lieu de faire confiance à un seul appareil, les utilisateurs peuvent répartir le risque entre plusieurs clés et des composants d'infrastructure indépendants.
L'IA pourrait avoir aidé les attaquants
Un aspect alarmant distinct est lié à l'utilisation de l'intelligence artificielle. Galaxy estime qu'au moins une partie des attaquants a très probablement utilisé des modèles d'IA sans restrictions strictes en matière de cybersécurité — notamment les LLM open source chinois.
Dans le même temps, les chercheurs du Bitcoin Red Team, qui ont commencé à vérifier massivement la base de code de l'écosystème pour détecter les vulnérabilités après l'attaque, ont été confrontés au problème inverse : les restrictions imposées par les principales entreprises américaines d'IA les empêchaient d'utiliser les modèles les plus puissants pour se protéger.
Chez Galaxy, on a noté que cela est particulièrement important dans le contexte de la diffusion de l'IA : les possibilités de recherche et d'exploitation d'erreurs dans le code deviennent plus accessibles non seulement aux développeurs et chercheurs, mais aussi aux malfaiteurs.
Rappelons qu'au premier semestre 2026, les projets crypto ont perdu environ 1,1 milliard de dollars à cause de piratages, et le nombre d'exploits confirmés a atteint un record pour six mois, selon Blockaid.
