Les portefeuilles air-gapped sont conçus pour ne jamais se connecter directement à Internet ni à un réseau sans fil, maintenant ainsi les clés privées à l'abri des menaces en ligne. Ils sont largement considérés comme offrant l'une des protections d'auto-conservation (self-custody) les plus robustes disponibles pour les détenteurs individuels de cryptomonnaies.

C'est précisément cette réputation qui rend l'exploit Coldcard si alarmant. Le portefeuille matériel dédié au Bitcoin, fabriqué par Coinkite, a été compromis par une vulnérabilité de micrologiciel qui a entraîné le vol de plus de 114 millions de dollars de fonds utilisateurs — un chiffre qui continue de grimper.

Portefeuilles de cryptomonnaies : les bases

Malgré leur nom, les portefeuilles de cryptomonnaies ne stockent pas réellement de Bitcoin, d'Ethereum ou d'autres actifs numériques. Ils contiennent les clés publiques et privées nécessaires pour accéder aux fonds et les transférer, tels qu'enregistrés sur une blockchain.

Une clé publique fonctionne essentiellement comme un numéro de compte, permettant à d'autres d'envoyer des cryptomonnaies vers une adresse spécifique. Une clé privée agit comme un mot de passe ou une signature numérique qui autorise les transactions sortantes. Quiconque obtient une clé privée acquiert un contrôle total sur les actifs associés.

Les portefeuilles existent sous de nombreuses formes — portefeuilles papier imprimés, applications logicielles, applications mobiles et dispositifs matériels dédiés. Ils se divisent en deux grandes catégories : les portefeuilles de garde (custodial) et les portefeuilles non-dépositaires (non-custodial).

Les portefeuilles de garde s'appuient sur un tiers pour détenir les clés privées au nom de l'utilisateur. C'est le cas lorsque les utilisateurs stockent leurs Bitcoin, Ethereum, Solana ou autres actifs sur un exchange centralisé tel que Coinbase. Les portefeuilles non-dépositaires, également appelés portefeuilles d'auto-conservation (self-custody), donnent aux utilisateurs un contrôle total sur leurs clés — et l'entière responsabilité de les protéger.

Qu'est-ce qui rend un portefeuille « air-gapped » ?

Un portefeuille air-gapped est un dispositif non-dépositaire conçu pour rester entièrement déconnecté d'Internet et de tous les protocoles de communication sans fil, y compris le Wi-Fi, le Bluetooth et le NFC. Le terme « air gap » désigne la séparation physique entre le portefeuille et tout réseau en ligne.

Étant donné que l'appareil n'établit jamais de connexion Internet, il présente une surface d'attaque bien moindre pour les pirates, les logiciels malveillants et les campagnes de phishing.

Qui fabrique les portefeuilles air-gapped ?

Plusieurs entreprises fabriquent des portefeuilles matériels spécifiquement conçus pour fonctionner sans connexion Internet directe ou sans fil.

Parmi les fabricants les plus connus figurent ELLIPAL, dont le portefeuille Titan utilise des codes QR au lieu de l'USB ou du Bluetooth ; Keystone, qui s'appuie également sur la communication par QR ; Foundation Devices, fabricant du portefeuille Passport axé sur le Bitcoin ; Blockstream, dont le portefeuille Jade prend en charge les transactions Bitcoin entièrement air-gapped via des codes QR ; et Coldcard lui-même.

Coldcard, produit par Coinkite, est un dispositif dédié exclusivement au Bitcoin qui prend en charge la signature hors ligne des transactions via des cartes microSD et des codes QR en option. C'est également le portefeuille au cœur du récent exploit de micrologiciel responsable du vol de bien plus de 100 millions de dollars à ce jour.

Des entreprises telles que Ledger et Trezor fabriquent également des portefeuilles matériels, bien que leurs appareils se connectent généralement via USB ou Bluetooth lors d'une utilisation courante. Les portefeuilles air-gapped se distinguent par leur conception dès l'origine pour maintenir les clés privées totalement isolées d'Internet.

Comme l'ont souligné les experts en sécurité à la suite de l'incident Coldcard, aucune option de portefeuille n'est jamais totalement exempte de risques.

Les portefeuilles air-gapped sont-ils réellement plus sûrs ?

Maintenir un portefeuille en permanence hors ligne réduit considérablement l'exposition aux attaques distantes. Les logiciels malveillants ne peuvent pas atteindre un appareil qui ne se connecte jamais à Internet, et les pirates ne peuvent pas exploiter des connexions réseau qui n'existent pas.

Cependant, les portefeuilles air-gapped ne sont pas immunisés contre toutes les catégories de menaces. Les utilisateurs doivent toujours protéger leur phrase de récupération, vérifier tous les détails des transactions avant de les signer et conserver le contrôle physique de l'appareil. Une phrase de récupération perdue ou volée peut compromettre définitivement l'accès au portefeuille. De même, un attaquant ayant un accès physique à l'appareil peut toujours être en mesure de l'exploiter, selon ses fonctionnalités de sécurité intégrées.

Le compromis réside dans la commodité. L'envoi de fonds depuis un portefeuille air-gapped implique généralement de scanner des codes QR ou de transférer des fichiers entre appareils, un processus plus lent que l'utilisation d'un portefeuille logiciel ou d'un compte d'exchange.

Aucun portefeuille n'est immunisé

Fin juillet 2026, Coinkite a révélé qu'une erreur de compilation du micrologiciel introduite en mars 2021 avait conduit certains portefeuilles Coldcard à générer des phrases seed à partir d'un ensemble de valeurs possibles considérablement réduit par rapport à ce qui était prévu. La réduction de l'entropie a affaibli le caractère aléatoire protégeant les clés privées des utilisateurs, les rendant vulnérables aux attaquants capables de deviner les phrases seed — ou d'utiliser des outils d'intelligence artificielle pour les deviner bien plus rapidement que ce qui serait possible manuellement.

Les phrases seed, standardisées sous la proposition d'amélioration Bitcoin 39 (BIP39), sont censées tirer parti d'une gamme considérable de combinaisons possibles — de l'ordre de 2^128 ou plus — précisément afin que les deviner soit informatiquement infaisable. Lorsque l'entropie est compromise, cette garantie cryptographique s'effondre, et le modèle de sécurité sous-tendant l'ensemble du portefeuille se désagrège avec elle.

Les conséquences sont graves. Si un attaquant obtient une clé privée — que ce soit par une sécurité insuffisante, un piratage, une arnaque ou en devinant correctement une phrase seed compromise — il acquiert le contrôle de tous les fonds associés à cette adresse.

L'incident Coldcard se déroule

Les chercheurs de Galaxy Research ont rapporté que l'exploit Coldcard s'est déroulé en plusieurs vagues, les pertes observées passant d'environ 88 millions de dollars à près de 114 millions de dollars en Bitcoin en l'espace de quelques jours. Cette escalation a poussé un grand nombre d'utilisateurs de Coldcard à déplacer leurs Bitcoin après que les chercheurs ont averti que des adresses vulnérables supplémentaires restaient à risque.

La faille est particulièrement significative car Coldcard, lancé en 2017, est depuis longtemps considéré comme l'un des portefeuilles matériels Bitcoin les plus axés sur la sécurité du marché. Le micrologiciel de l'appareil est open source, ce qui permet en principe aux chercheurs en sécurité indépendants d'auditer le code — pourtant, l'erreur de compilation est restée indétectée pendant environ cinq ans, un manque qui a relancé le débat sur l'efficacité avec laquelle la communauté examine en pratique les micrologiciels des portefeuilles matériels.

L'incident souligne que si le maintien d'un portefeuille hors ligne le protège de nombreuses menaces en ligne, le stockage hors ligne ne permet pas d'éliminer tous les risques. La sécurité globale d'un portefeuille dépend également de la qualité du matériel, de l'intégrité du micrologiciel, de la génération de nombres aléatoires et des pratiques de développement logiciel. Un air gap constitue une couche de défense essentielle — et non une preuve que l'appareil est exempt de vulnérabilités.

Selon les experts en sécurité, l'une des façons de réduire l'exposition consiste à éviter les points de défaillance uniques — en d'autres termes, à éviter de concentrer toutes ses détentions de cryptomonnaies dans un seul portefeuille ou emplacement. Les configurations multisignatures, ou multisig — qui exigent plusieurs dispositifs ou clés indépendants pour autoriser une seule transaction — sont une approche largement recommandée pour les utilisateurs sécurisant des montants importants en Bitcoin, car la compromission d'un seul signataire ne suffit pas à déplacer les fonds.