Une exploitation massive des portefeuilles matériels Coldcard débutée le 30 juillet a entraîné le vol d'environ 130 millions de dollars de Bitcoin, tout en déclenchant simultanément l'une des plus grandes migrations d'auto-conservation de l'histoire du réseau, avec 233 000 BTC — d'une valeur d'environ 15 milliards de dollars aux prix actuels — quittant les portefeuilles de détenteurs de long terme vers des configurations plus sûres.

La brèche visait les portefeuilles matériels Coldcard, des appareils physiques fabriqués par l'entreprise canadienne Coinkite qui stockent les clés privées entièrement hors ligne. Coldcard a été largement adopté parmi les utilisateurs d'auto-conservation de Bitcoin, notamment pour sa conception en air-gap, dans laquelle les transactions sont signées sur un appareil qui ne se connecte jamais directement à Internet — un modèle de sécurité qui rend la compromission des clés au niveau du firmware particulièrement significative pour la communauté qui s'y fiait. Un bug de firmware introduit en mars 2021 avait redirigé la génération de clés vers un générateur de nombres aléatoires logiciel défaillant au lieu de la puce matérielle dédiée de l'appareil. Cela a rendu les clés privées — les codes secrets qui prouvent la propriété du Bitcoin et autorisent les transactions — devinables, la sécurité s'effondrant de 128 bits à environ 40 bits. À 40 bits, l'espace de clés est suffisamment restreint pour que du matériel grand public moderne puisse le casser par force brute dans des délais pratiques — une classe de vulnérabilité qui a déjà affecté les systèmes de cryptomonnaies, notamment dans une faille de portefeuille Android de 2013 qui produisait de même des clés prévisibles. La vulnérabilité a été décrite comme l'équivalent cryptographique d'un coffre-fort de banque sécurisé par un code à quatre chiffres.

Galaxy Research a suivi les retombées sur trois vagues d'attaques confirmées, avec des pertes atteignant environ 1 596 BTC sur plus de 5 200 adresses. Nick Neuman, PDG de Casa, citant les données onchain de l'analyste James Check de Checkonchain, a rapporté un chiffre plus élevé d'environ 2 100 BTC volés. Comme l'attaquant devait compromettre les adresses individuellement plutôt que de pirater un seul pool de garde, le drain s'est produit de manière incrémentale — donnant au reste du réseau le temps de réagir.

Neuman a partagé la décomposition onchain dans une publication sur X :

The onchain metrics around the Coldcard incident reinforce how important self custody is to the resilience of Bitcoin as an asset class.

In the couple of days around the hack: - 2.1k BTC was stolen - 22k moved to exchanges - 233k moved out of long term holder wallets in on… pic.twitter.com/iewr5RvG9c

— Nick Neuman (@Nneuman) August 9, 2026

Selon les données de Checkonchain citées par Neuman, 22 000 BTC ont été transférés vers des exchanges, et 233 000 BTC ont quitté les portefeuilles de détenteurs de long terme — définis comme des adresses inactives depuis au moins 155 jours, une cohorte que les analystes surveillent comme indicateur proxy d'investisseurs sérieux et patients. Ce chiffre représente plus de 100 fois ce que les attaquants ont réussi à voler.

Checkonchain a également publié sa propre analyse du décalage de l'offre de détenteurs de long terme :

The Coldcard incident resulted in Long-Term Holder supply declining by ~233k BTC, a 1.38% fall from its recent all-time high.

With such a meaningful event, an important question is whether the emergency migration of coins has skewed the onchain metrics we use to analyse Bitcoin.… pic.twitter.com/FPVLUkUlqU

— _Checkonchain (@_checkonchain) August 7, 2026

Les données de la société d'analyse Glassnode confirment l'ampleur du phénomène : l'offre de détenteurs de long terme a chuté de près de 15 millions de BTC à environ 14,7 millions de BTC — la plus forte baisse hebdomadaire depuis décembre 2024. Cela s'est produit alors que le Bitcoin se négociait à environ 50 % sous son plus haut historique de 126 000 dollars, atteint en octobre 2025.

Casa a confirmé, par le biais de véritables conversations avec des clients, que la migration ne s'est pas limitée aux propriétaires de Coldcard. Une partie des 233 000 BTC provenait d'utilisateurs de Ledger et Trezor — des marques de portefeuilles matériels entièrement distinctes — qui ont utilisé l'incident comme déclencheur pour passer à des configurations multi-signatures. Les configurations multi-signatures nécessitent plusieurs clés indépendantes pour approuver toute transaction, ce qui signifie qu'aucun appareil compromis unique ne peut vider un portefeuille entier. D'autres fonds provenaient d'utilisateurs de Coldcard migrant directement vers de nouvelles graines sécurisées.

« Donc, quelque part entre 10 et 100 fois le montant de bitcoin volé a été mis en sécurité au fur et à mesure que les gens donnaient l'alerte », a écrit Neuman.

Neuman a soutenu que l'incident démontrait un avantage structurel de l'auto-conservation sur la garde centralisée. Lorsqu'un exchange centralisé est piraté, tous les fonds sont exposés simultanément — un schéma observé dans les effondrements majeurs d'exchanges qui ont collectivement entraîné des milliards de dollars de pertes au cours de l'histoire du Bitcoin. Dans ce cas, la nécessité pour l'attaquant de craquer des adresses individuelles a créé une fenêtre permettant au reste du réseau de réagir.

« C'est un panneau lumineux clignotant géant qui met en évidence la résilience que l'auto-conservation apporte au réseau », a écrit Neuman. « Si tout ce BTC avait été détenu par un dépositaire et que le dépositaire avait été piraté à la place, ces chiffres auraient été inversés. »

Coinkite a demandé à toute personne ayant généré une phrase de récupération sur les versions de firmware 4.0.1 à 4.1.9 — couvrant la période de mars 2021 à juillet 2026 — de considérer ces portefeuilles comme compromis et de migrer immédiatement vers une nouvelle graine. La fenêtre de plus de cinq ans signifie que toutes les clés générées durant cette période entière sont potentiellement affectées, élargissant considérablement l'univers des portefeuilles à risque au-delà de ceux activement exploités lors des vagues d'attaques de juillet.