Une faille de firmware dans Coldcard, le portefeuille matériel Bitcoin largement utilisé produit par Coinkite et depuis longtemps privilégié par les partisans du Bitcoin pour sa conception isolée, a permis à des attaquants de voler près de 600 bitcoin, soit environ 38 millions de dollars, marquant l’un des échecs les plus importants de l’autodétention du Bitcoin à ce jour et soulevant des questions urgentes sur le fait de savoir si la gestion des clés privées est devenue trop complexe pour les investisseurs ordinaires.

La vulnérabilité, depuis corrigée, permettait aux attaquants de recréer les phrases de récupération des portefeuilles à partir de seeds générées sur des versions de firmware concernées. Des chercheurs en sécurité ont déterminé que certaines versions du firmware produisaient les seeds avec beaucoup moins d’aléa que prévu, les rendant vulnérables à des attaques par force brute. Selon la norme BIP39 qui régit les phrases de récupération, une entropie suffisante est ce qui rend une phrase de seed pratiquement impossible à deviner ; lorsque cet aléa se dégrade, tout le modèle de sécurité s’effondre. Bien que le correctif protège les nouvelles seeds générées à l’avenir, il ne peut pas sécuriser les seeds déjà créées sur un firmware vulnérable, ce qui signifie que les utilisateurs concernés doivent créer de tout nouveaux portefeuilles et y transférer leurs fonds.

« Transférez vos fonds maintenant »

Dans une lettre ouverte, le PDG de Coinkite, NVK, a adressé une consigne ferme aux utilisateurs : « Si vous avez généré une seed à l’aide d’un portefeuille Coldcard, transférez vos fonds maintenant, en utilisant nos meilleures pratiques mises à jour, avant de lire la suite. » Il a souligné que si le correctif protège les nouvelles seeds, il ne remédie pas à celles déjà générées sur un firmware compromis.

Les retombées ont ébranlé la confiance dans un principe longtemps central à l’attrait du Bitcoin : l’idée que les investisseurs n’ont pas besoin de dépendre des banques ou des plateformes d’échange pour protéger leur patrimoine. Le commentateur Bitcoin Guy Swann a décrit l’incident comme particulièrement dommageable pour les membres les plus soucieux de la sécurité au sein de la communauté.

« C’est le pire choc de l’histoire du bitcoin pour les bitcoiners les plus compétents et “correctement sécurisés” », a déclaré Swann. « Il ne s’agit pas d’une plateforme d’échange piratée à cause de clés chaudes. Il s’agit de milliers de personnes dont les clés privées personnelles ont été recréées sous leurs yeux. »

Troquer un risque contre un autre

Pendant des années, les défenseurs du Bitcoin ont présenté l’autodétention comme un moyen d’éliminer le risque de contrepartie associé aux plateformes centralisées, une position renforcée par des faillites comme FTX. Les analystes soutiennent désormais que les utilisateurs ont en réalité remplacé une catégorie de risques par une autre. L’incident Coldcard n’est pas le premier à mettre à l’épreuve la confiance dans les portefeuilles matériels ; en 2023, Ledger a fait face à une réaction négative de la communauté au sujet de son service d’abonnement optionnel de récupération de seed, que des critiques craignaient de voir introduire une porte dérobée vers les clés privées — une controverse qui, bien que techniquement distincte, a également érodé la confiance dans l’idée que les appareils matériels conservent les secrets totalement hors ligne.

« L’espace des matériels d’autodétention est à ce stade un désastre et génère plus de mauvaise presse pour l’industrie que n’importe quoi d’autre », a déclaré Lorenzo Valente, directeur de la recherche sur les actifs numériques chez ARK Invest (post sur X).

« En pratique, les consommateurs ont troqué le risque de contrepartie contre le risque logiciel, le risque matériel, le risque lié à la chaîne d’approvisionnement, le risque d’hameçonnage, le risque de sauvegarde et la possibilité de tout perdre à cause d’une seule erreur », a-t-il déclaré. « Franchement, aujourd’hui, il vaut mieux détenir ses fonds sur plusieurs plateformes d’échange cotées en bourse ou via des ETF. »

Même la solution recommandée a suscité des critiques. Coinkite a conseillé aux utilisateurs de compléter l’aléa généré par le portefeuille avec des lancers de dés physiques — une recommandation que le PDG de Casa, Nick Neuman, a jugée impraticable.

« On ne peut tout simplement pas demander aux gens de lancer des dés pour être en sécurité avec leur autodétention », a déclaré Neuman. « Pour 99 % des gens, c’est rédhibitoire. »

La sécurité n’est plus passive

L’incident souligne aussi à quelle vitesse le paysage de la cybersécurité évolue, en particulier à mesure que l’intelligence artificielle réduit le coût et l’effort nécessaires pour découvrir des vulnérabilités logicielles.

« L’idée que votre bitcoin repose tranquillement dans un endroit secret pendant que vous profitez de la vie sans vous en soucier est actuellement irréaliste », a écrit sur X le développeur Taproot Udi Wertheimer, très suivi. Il a soutenu que les détenteurs de bitcoin doivent désormais soit surveiller en permanence les nouvelles menaces eux-mêmes, soit s’appuyer sur des dépositaires professionnels disposant d’équipes de sécurité dédiées.

« Si vous ne voulez pas vous inquiéter vous-même, vous devez payer quelqu’un d’autre pour s’en inquiéter », a-t-il dit.

L’exploit Coldcard s’inscrit également dans une tendance plus large des attaques crypto. Selon l’entreprise de sécurité blockchain Blockaid, la plupart des pertes enregistrées au premier semestre 2026 ne provenaient pas de piratages de smart contracts, mais de clés compromises et de défaillances de sécurité opérationnelle.

« Coldcard correspond à ce schéma, l’exposition provenant de l’étape de génération des clés », a déclaré Ido Ben-Natan, cofondateur et PDG de Blockaid. Il a expliqué que l’incident montre à quel point les utilisateurs dépendent de systèmes de sécurité avec lesquels ils n’interagissent jamais directement.

« La sécurité d’un portefeuille matériel dépend en fin de compte du firmware et des systèmes avec lesquels les utilisateurs interagissent sans jamais les voir », a déclaré Ben-Natan. « Cela signifie que les protections doivent être intégrées en amont, avant même qu’un utilisateur ne prenne le contrôle de ses actifs. »

Les fabricants de portefeuilles matériels soutiennent que l’incident met en évidence l’importance d’une ingénierie sécurisée plutôt qu’un défaut de l’autodétention elle-même.

« Cet incident est un bon exemple montrant pourquoi un firmware open source ne doit pas être automatiquement assimilé à une meilleure sécurité », a déclaré Andrew Lazutkin, directeur de la technologie chez Tangem. « En fin de compte, la sécurité repose sur une architecture solide, des tests approfondis et une vérification indépendante. »

Un coup de pouce pour le Bitcoin institutionnel

L’exploit pourrait aussi renforcer l’argument en faveur de la conservation institutionnelle à un moment où les ETF Bitcoin au comptant attirent des investisseurs grand public.

David Lawrence, cofondateur d’Amicus, a déclaré que des incidents comme celui de Coldcard pousseront probablement les nouveaux investisseurs vers des produits réglementés tels que l’iShares Bitcoin Trust (IBIT) de BlackRock plutôt que vers la gestion directe de leurs clés privées.

« C’est aussi une nouvelle victoire pour le “Big Bitcoin” », a déclaré Lawrence, ajoutant qu’après de tels incidents, de nouveaux investisseurs souhaitant détenir du bitcoin pourraient se dire : « Je suis plus en sécurité en achetant simplement IBIT. »

Il a estimé que l’incident pourrait marquer un tournant pour l’un des idéaux les plus anciens du Bitcoin.

« C’est extrêmement dommageable pour les personnes qui pensent que 8 milliards d’êtres humains conserveront leur Bitcoin en stockage à froid à l’avenir », a déclaré Lawrence. « Ce rêve est terminé. C’est fini. »