Coinkite, le fabricant du portefeuille matériel Coldcard — un appareil longtemps considéré comme une option haut de gamme parmi les défenseurs de l'auto-conservation du Bitcoin — a informé ses utilisateurs de changements importants dans ses pratiques de conservation des données suite à un piratage de 116 millions de dollars, le plus grave incident de sécurité de juillet 2026. L'avis, repartagé sur le compte X officiel de Coldcard tôt vendredi, a annoncé que Coinkite ne supprimera plus automatiquement les enregistrements clients.

Ce revirement de politique est directement lié à une faille du firmware qui a drainé plus de 100 millions de dollars en Bitcoin des portefeuilles matériels Coldcard depuis le 30 juillet 2026.

Modifications apportées au traitement des données utilisateur

Coinkite a confirmé qu'il modifiera la manière dont il traite les données clients « en relation avec l'incident de sécurité divulgué le 30 juillet 2026 ». Avant ce changement, l'entreprise supprimait régulièrement les enregistrements clients, ne conservant que les adresses e-mail et les pays de résidence.

Ce changement est décrit comme une préparation aux « obligations juridiques » découlant du vol. Les piratages de cryptomonnaies à grande échelle génèrent fréquemment des litiges civils et des enquêtes réglementaires, des procédures qui nécessitent généralement une conservation prolongée des enregistrements de transactions, des communications avec les clients et des preuves forensiques. Coinkite n'a pas précisé quelles données supplémentaires il a l'intention de stocker ni pendant combien de temps la nouvelle période de conservation durera.

Cette décision marque un écart notable par rapport aux principes d'auto-conservation et de confidentialité qui sont longtemps défendus au sein de la communauté Bitcoin, où la minimisation de la collecte de données a été considérée comme une fonctionnalité de sécurité essentielle plutôt que comme une simple préférence en matière de confidentialité.

Détails du piratage

La révision de la politique de conservation des données fait suite à l'un des incidents de sécurité les plus dommageables de 2026. La vulnérabilité ciblait la version 4.0.1 du firmware, que Coinkite a livrée en mars 2021.

Au cœur du piratage se trouve la façon dont les portefeuilles matériels génèrent les phrases seed. Une phrase seed encode l'entropie à partir de laquelle toutes les clés privées sont dérivées ; si le générateur de nombres aléatoires qui produit cette entropie est défectueux, les attaquants peuvent reconstituer indépendamment les mêmes clés sans jamais toucher à l'appareil physique. Cette classe de vulnérabilité est particulièrement grave car elle contourne les protections matérielles — éléments sécurisés, codes PIN et résistance à l'altération physique — qui définissent la proposition de valeur d'un portefeuille matériel.

Comme TRM Labs l'a averti, l'installation du firmware corrigé ne protège que les portefeuilles créés à l'avenir. Toute seed générée sur un Coldcard vulnérable entre mars 2021 et la publication du correctif doit être considérée comme compromise.

Cryptopolitan a documenté quatre vagues d'attaques depuis que le piratage a été signalé pour la première fois le 30 juillet. La vague initiale a drainé environ 594 BTC — d'une valeur de près de 38 millions de dollars à l'époque — depuis environ 500 portefeuilles en seulement 25 minutes. Galaxy Research a suivi trois vagues supplémentaires au cours des quatre jours suivants. Au moment de ce rapport, l'attaquant a accumulé 1 816 BTC répartis sur plus de 5 200 adresses.

TRM Labs classe l'incident comme le troisième plus grand piratage de cryptomonnaies de 2026, une année au cours de laquelle l'industrie a déjà perdu plus de 1,2 milliard de dollars sur 276 incidents. Contrairement aux brèches de contrats intelligents qui dominent les pertes des plateformes d'échange et de la DeFi, les piratages de portefeuilles matériels sapent directement le modèle de confiance de l'auto-conservation hors ligne — un segment qui a historiquement bénéficié de moins d'audits de sécurité tiers que les protocoles et les dApps.

Coinkite rejette les allégations de connaissance préalable

À mesure que les pertes augmentaient, des accusations ont émergé selon lesquelles Coinkite aurait eu connaissance de la faille depuis des années. L'entreprise s'est publiquement opposée à ces allégations.

En réponse à Jack Mallers le 7 août, COLDCARD a déclaré sur X qu'« il n'y avait pas de mécanisme de repli d'entropie faible », soutenant que le générateur de nombres pseudo-aléatoires (PRNG) défectueux, nommé Yasmarang, était le générateur à usage général intégré de MicroPython introduit en amont — et non un mécanisme de repli conçu par Coinkite.

Par ailleurs, le 5 août, des rapports ont indiqué qu'un épisode de Rabbit Hole Recap de 2021, fréquemment cité comme preuve d'une connaissance préalable, faisait en réalité référence à une vulnérabilité différente — et non au problème de RNG. La propre page de divulgation historique de Coinkite répertorie 23 événements liés à la sécurité remontant à 2019, et l'entreprise n'a cessé de diriger ses détracteurs vers celle-ci.

Répartition géographique des pertes

Les facteurs géographiques ont influencé de manière significative l'ampleur des dégâts. Cryptopolitan a rapporté le 5 août qu'environ 25 % des pertes attribuées concernaient des détenteurs au Canada, les États-Unis et la Thaïlande étant également fortement touchés. Ces conclusions étaient basées sur des données de Chainalysis reliant la base de données d'adresses de portefeuilles aux régions probables.

Chainalysis a attribué l'exposition disproportionnée du Canada à l'adoption précoce du Bitcoin et aux campagnes d'influenceurs qui ont promu Coldcard dans le pays.

Les répercussions se sont étendues au-delà des pertes directes. La note de recherche hebdomadaire de CoinMarketCap a indiqué que le piratage a ébranlé la confiance dans les solutions d'auto-conservation et a ramené certains utilisateurs de Bitcoin vers les plateformes d'échange centralisées. En réponse, un groupe connu sous le nom de Red Team, dirigé par Rob Hamilton, PDG d'AnchorWatch, a lancé des audits assistés par IA des portefeuilles et bibliothèques Bitcoin, analysant 150 dépôts à ce jour — un effort qui reflète la reconnaissance croissante que la génération d'entropie et les chaînes d'approvisionnement de firmware méritent la même culture d'audit rigoureuse qui s'est développée autour des contrats intelligents ces dernières années.