La communauté sud-coréenne de détenteurs de Bitcoin a pratiquement subi aucune perte directe lors de l'attaque contre le portefeuille matériel Coldcard — alors même que l'appareil était largement répandu précisément parmi les utilisateurs locaux les plus expérimentés. Une erreur dans la génération de nombres aléatoires dans certains modèles de Coldcard a permis à des malfaiteurs d'accéder aux phrases de récupération (seed) vulnérables et de retirer des bitcoins pour au moins 15 adresses. Les pertes totales ont dépassé les 1 596 $BTC — environ 130 millions de dollars — et des milliers d'adresses ont été touchées.
Le fabricant a réagi à l'incident en décidant de détruire les lots restants d'appareils vulnérables et a appelé les utilisateurs à générer de nouvelles phrases de récupération. Selon les données d'analystes indépendants, le nombre d'adresses affectées atteignait environ 7 300, et en tenant compte de cas présumés mais non confirmés, le volume total des pertes pourrait s'élever à 2 000 $BTC.
Dans ce contexte, la Corée du Sud se distingue nettement : les rapports locaux enregistrent des dommages minimes, bien que les détenteurs expérimentés y aient été parmi les premiers à utiliser Coldcard pour sa fonction de stockage « à froid » sans connexion réseau. L'analyste Koji Higashi explique cet écart non par une chance technique, mais par une culture établie depuis des années d'approche autonome et prudente du stockage des actifs au sein de la communauté locale.
Génération manuelle au lieu de confiance dans le firmware
Les leaders de la communauté coréenne promeuvent depuis longtemps l'idée de générer les phrases de récupération et l'entropie indépendamment de l'appareil, sans se fier au générateur de nombres aléatoires intégré d'aucun fabricant. Les méthodes recommandées sont volontairement analogiques :
-
le jet de dés ou le tirage à pile ou face pour obtenir une vraie aléa ;
-
la création d'une phrase mnémotechnique BIP39 entièrement hors ligne, sans appareils connectés ;
-
pour une phrase de 12 mots — 256 jets de pièce pour une phrase de 24 mots — 256 jets, avec conversion du code binaire en décimal à l'aide d'une calculatrice ordinaire, et non d'un smartphone.
Les guides locaux décrivent cette procédure en détail, étape par étape. Ensuite — vérification des mots obtenus avec une liste BIP39 imprimée et utilisation d'outils hors ligne comme SeedSigner exclusivement pour vérifier la somme de contrôle, sans se connecter au réseau à aucune étape.
Pourquoi les communautés anglophones ont été plus touchées
Les partisans anglophones de l'auto-custodie, malgré un niveau élevé de compétence technique, ont en moyenne subi des pertes bien plus sensibles. Higashi relie cela aux caractéristiques des flux d'information au sein de la communauté :
-
une dépendance excessive envers des influenceurs, dont certains ont des accords de parrainage ou des liens étroits avec le fabricant de Coldcard — la société Coinkite —, ce qui a pu renforcer une confiance injustifiée dans les déclarations sur la sécurité de l'appareil ;
-
un effet de chambre d'écho : la solidarité idéologique générale au sein de la communauté renforçait la confiance dans le produit, dont la vulnérabilité n'était vérifiée par personne de manière indépendante ;
-
les leaders coréens ont agi différemment — sans liens commerciaux ou personnels avec le fabricant, ils donnaient une évaluation plus neutre des risques, et leurs abonnés suivaient réellement ces conseils.
Le principe Bitcoin « Ne fais pas confiance, vérifie » s'est révélé applicable dans ce cas non seulement au code, mais aussi aux sources d'information. La conclusion pratique de cette histoire est simple : créer soi-même les phrases de récupération par des méthodes physiques là où c'est possible, et par défaut ne pas faire confiance au générateur de nombres aléatoires intégré d'aucun appareil.
Opinion de l'IA
D'un point de vue d'analyse technique des données, toutes les méthodes de génération manuelle de phrase de récupération ne fournissent pas le même rendement en entropie par unité d'effort. Le jet d'un dé porte environ 2,585 bits d'information, et le schéma standard « pair/impair » élimine la majeure partie de ce volume, réduisant chaque jet à un seul bit, alors qu'un traitement via une fonction de hachage peut préserver presque tout le potentiel du jet. Il est intéressant de noter que la documentation de Coldcard depuis 2020 contient une instruction recommandant 99 jets de dés pour s'approcher d'une réserve de sécurité de 256 bits.
Une difficulté supplémentaire est que l'aléa physique du jet ne garantit pas une indépendance complète des résultats en cas de fatigue ou de négligence de la personne qui l'exécute, tandis que les générateurs matériels basés sur des processus de bruit résolvent ce problème différemment, mais exigent une confiance dans la puce elle-même. Lequel de ces compromis — manuel ou matériel — est préférable pour l'utilisateur grand public reste une question ouverte.
end-content
