Le portefeuille matériel Coldcard a été piraté – une nouvelle vague de retraits de fonds depuis les appareils vulnérables est actuellement observée. Selon Galaxy Research, le montant total volé a atteint 1 367,05 $BTC (environ 88,6 millions de dollars) depuis 4 585 adresses – c'est nettement plus que les 594,5 $BTC initialement connus le 30 juillet 2026. La majeure partie des fonds volés reste pour l'instant intacte sur les adresses des attaquants. Galaxy Research a confirmé le 2 août 2026 que le pillage des adresses vulnérables se poursuit.
Le problème ne vient pas du firmware, mais des phrases de récupération (seed) déjà créées
Il ne s'agit pas d'un dysfonctionnement des appareils – Coinkite a depuis longtemps mis à jour le firmware. Le problème est que les phrases de récupération (seed) générées à partir de mars 2021 en raison d'une erreur de programmeur se sont révélées facilement devinables, et la mise à jour du firmware ne change pas la phrase de récupération elle-même. Tant que le propriétaire n'a pas transféré ses fonds vers une nouvelle adresse avec une nouvelle phrase de récupération, l'ancien portefeuille reste vulnérable – peu importe le nombre de versions du firmware installées. C'est pourquoi les Bitcoins continuent d'être retirés même chez ceux qui ont mis à jour leur appareil depuis longtemps.
La raison est qu'en intégrant la bibliothèque libNgU, les appareils ont cessé d'utiliser le générateur de nombres aléatoires matériel STM32 et sont passés au générateur logiciel Yasmarang, initialisé avec des données publiquement accessibles – le numéro de série de la puce et l'état du timer. En conséquence, les phrases de récupération pouvaient être devinées par force brute en mode hors ligne, sans accès physique à l'appareil.
Le développeur Coinkite a précisé quelles phrases de récupération étaient concernées :
-
Mk2/Mk3 avec firmware 4.0.1–4.1.9 (et jusqu'à 5.0.3)
-
Mk4/Mk5 jusqu'à la version 5.6.0 (Edge – jusqu'à 6.6.0X)
-
Q jusqu'à la version 1.5.0Q (Edge – jusqu'à 6.6.0QX)
Sont exemptées – les phrases de récupération créées en utilisant au moins 50 lancers de dés indépendants ou une phrase secrète BIP-39 forte et unique. Tous les autres propriétaires de tels appareils doivent générer une nouvelle phrase de récupération sur un firmware corrigé (4.2.0 et supérieur pour Mk2/Mk3, 5.6.0 et supérieur pour Mk4/Mk5, 1.5.0Q et supérieur pour Q) et y transférer tous leurs actifs – tant que cela n'est pas fait, les fonds restent menacés quelle que soit la version du firmware installée.
Huit ans de dur labeur – et quelques minutes pour tout perdre
L'histoire d'un investisseur de 39 ans est un rappel brutal de la vulnérabilité des stratégies de stockage de cryptomonnaies, même les plus conservatrices. Cet homme a perdu 2 $BTC (environ 130 000 dollars) en quelques minutes seulement suite au piratage de Coldcard. Ces pièces, il les avait achetées sur huit ans en travaillant dur physiquement, et il avait réussi à les conserver même durant les plus fortes chutes du marché.
La tragédie réside dans le fait que la victime avait agi avec la plus grande prudence. Il n'avait pas risqué son capital sur des memecoins à la mode et n'avait pas confié ses économies à des plateformes d'échange centralisées. Pour lui, Bitcoin n'était pas un outil spéculatif, mais une bouée de sauvetage. L'homme vivait dans un pays soumis à de strictes sanctions internationales et à une hyperinflation dévastatrice de la monnaie locale. Il achetait de la cryptomonnaie comme une protection contre l'émission incontrôlée de monnaie, pour protéger sa famille d'un effondrement financier et prendre sa retraite à 50 ans.
En déplaçant ses actifs vers un portefeuille froid, il croyait que son travail de plusieurs années était en sécurité. Cependant, la vulnérabilité de Coldcard a tout anéanti : après le vol instantané de ses fonds, l'homme a avoué être complètement brisé et quitter définitivement les cryptomonnaies, son rêve d'une retraite anticipée étant mort.
Ce cas est particulièrement notable car les victimes de cette vulnérabilité ne sont pas des spéculateurs imprudents, mais précisément des détenteurs à long terme, dont la stratégie « acheter et conserver en portefeuille froid » était toujours considérée comme l'exemple de la prudence. Aujourd'hui, la communauté crypto espère que l'entreprise fabricante pourra trouver un moyen de restaurer les fonds et les rendre aux utilisateurs, afin d'atténuer un tant soit peu cette situation vraiment triste.
L'avis de l'IA
D'un point de vue d'analyse historique des données, le cas Coldcard n'est pas le premier exemple où une faiblesse du générateur de nombres aléatoires détruit la confiance dans le stockage « froid ». Une situation similaire s'est déjà produite entre 2011 et 2015, lorsque la bibliothèque BitcoinJS du navigateur générait des clés insuffisamment aléatoires ; les pertes cumulées dues à la compromission des clés privées sur dix ans ont ensuite été estimées par la plateforme DefiLlama à 17 milliards de dollars.
L'aspect technique, peu visible derrière le côté émotionnel de l'histoire : le remplacement du générateur matériel STM32 par le logiciel Yasmarang réduit l'entropie précisément là où l'utilisateur s'attend le moins à une vulnérabilité – à l'intérieur d'un appareil « fermé » et sans Internet. Ce détail remet en question la croyance répandue selon laquelle le stockage hors ligne signifie automatiquement une fiabilité cryptographique.
end-content
