Coinkite Inc., le fabricant du portefeuille matériel Coldcard, et ses deux cofondateurs font face à un recours collectif proposé au Canada concernant une vulnérabilité de sécurité liée à des vols de bitcoins dépassant, selon les rapports, 140 millions de dollars.

La plainte, déposée par Amir Reza Naderi devant la Cour supérieure de justice de l'Ontario, allègue que les dirigeants de l'entreprise connaissaient des faiblesses dans le système de génération de la phrase de récupération du portefeuille dès mai 2025, mais n'ont pas averti les clients. Coinkite conteste cette affirmation.

La poursuite

Naderi a déposé sa plainte contre Coinkite et ses cofondateurs Rodolfo Novak et Peter D. Gray. Le tribunal a émis le document le 11 septembre 2026, sous le numéro de dossier CV-26-00018158. Le plaignant affirme avoir perdu 1,22940052 BTC, d'une valeur d'environ 79 800 dollars, le 6 août.

Il accuse les défendeurs de ne pas avoir divulgué un risque de sécurité connu et demande la certification du recours collectif, une indemnisation pour les clients touchés ainsi que des dommages-intérêts punitifs. La poursuite allègue également des violations de la Loi sur la protection du consommateur de l'Ontario. Selon la procédure ontarienne, un recours collectif proposé doit être certifié par un juge avant de pouvoir procéder au nom d'un groupe plus large, une étape déterminante qui façonnera le déroulement de l'affaire. Les allégations demeurent non prouvées et le tribunal n'a pas établi de responsabilité.

Une faille du firmware a affaibli les phrases de récupération

La vulnérabilité remonte à une mise à jour du firmware publiée en mars 2021. Selon la plainte, une erreur d'intégration logicielle aurait amené les appareils Coldcard touchés à générer des phrases de récupération avec un générateur de nombres pseudoaléatoires plus faible, appelé Yasmarang, plutôt qu'avec la source d'aléatoire matérielle prévue.

Certains anciens modèles auraient produit des graines n'offrant qu'environ 40 bits d'entropie effective, permettant potentiellement à des attaquants de reconstituer des clés privées et d'accéder à des portefeuilles Bitcoin sans posséder physiquement les appareils. Ce chiffre est bien inférieur aux 128 bits d'entropie minimum que les phrases de récupération standard sont conçues pour garantir, et il remet en cause le principe fondamental d'un portefeuille matériel : les clés et leurs sauvegardes doivent être générées hors ligne, hors de portée des attaquants.

Les vols auraient commencé le 30 juillet 2026, lorsque environ 594 BTC ont disparu de centaines de portefeuilles lors d'une première attaque de 25 minutes. Des enquêtes ultérieures ont estimé les pertes à plus de 116 millions de dollars, tandis que des rapports plus récents ont porté le cumul des vols au-dessus de 140 millions de dollars.

La réponse de Coinkite

Coinkite a rejeté les affirmations selon lesquelles elle avait connaissance de la vulnérabilité en mai 2025, soutenant avoir découvert le problème le 30 juillet 2026, au moment où les attaques ont émergé. L'entreprise a depuis publié un firmware corrigé et conseillé aux clientsés de générer de nouvelles phrases de récupération et de transférer leurs bitcoins vers des portefeuilles sécurisés. Cependant, la simple installation d'un firmware mis à jour ne peut pas protéger les fonds associés à des phrases de récupération précédemment compromises.

Étant donné que l'auto-conservation place la sécurité des clés directement entre les mains des utilisateurs et que les transactions Bitcoin ne peuvent pas être annulées, l'attention se porte désormais sur la suite de la procédure : la requête en certification et la réponse formelle des défendeurs à la plainte. L'affaire pourrait devenir un test important des responsabilités des fabricants de portefeuilles matériels lorsque des défauts logiciels exposent les clients à des pertes financières.

Source : CryptoMeter io