Les pertes en Bitcoin volé liées au vaste exploit des portefeuilles Coldcard ont commencé à ralentir, mais le montant total de BTC dérobé continue d’augmenter — et le pire n’est peut-être pas encore passé.

C’est la dernière mise à jour de Galaxy Research, la société de recherche crypto qui suit l’exploit depuis le début. Jeudi, l’entreprise a indiqué que l’exploit de recréation de graines Coldcard avait désormais drainé plus de 1 778 BTC — soit environ 112 millions de dollars — et que le total final serait probablement plus élevé.

Galaxy a déclaré avoir une « très forte confiance » dans ce total, qui recense les vols confirmés attribués aux propriétaires depuis l’ouverture de l’attaque le 30 juillet, selon son fil continu sur X.

« Les attaquants mènent cette attaque depuis au moins le début de la matinée du 30 juillet 2026, en recréant systématiquement les graines générées par Coldcard et en vidant les fonds onchain », a écrit Galaxy Research.

Parmi les vagues et empreintes confirmées par Galaxy, aucune n’affiche d’activité après le 6 août. Cela ne signifie pas que la méthode a cessé de fonctionner ; cela signifie que les cibles faciles ont disparu.

The bulk of funds have remained largely unmoved since stolen from victims. Of the at least 1,778 BTC that has been stolen, 1,531 BTC remains in attacker-controlled addresses unmoved. ~246 BTC has been moved by attackers after the theft, with 65% flowing into Coinjoin transactions… pic.twitter.com/OHjJkr1x6D

— Galaxy Research (@glxyresearch) August 14, 2026

Ce que montrent les chaînes

Coldcard, fabriqué par la société torontoise Coinkite, est un portefeuille matériel exclusivement Bitcoin, depuis longtemps apprécié des utilisateurs de self-custody — un appareil commercialisé sur l’idée que les clés privées sont générées et stockées en toute sécurité hors ligne. Une mise à jour du micrologiciel en 2021 a discrètement transféré la génération des graines de Coldcard de sa puce matérielle de nombres aléatoires vers un substitut logiciel, faisant chuter la robustesse des clés de 128 bits à aussi peu que 40. C’est important, car la graine est le secret maître d’un portefeuille — la phrase de récupération à partir de laquelle chaque clé privée et chaque adresse sont dérivées — et 128 bits d’entropie constituent le niveau de sécurité qu’ingénieurs considèrent impossible à brute-forcer ; 40 bits, non. Les attaquants ont pu reconstruire les graines à partir du numéro de série d’un appareil et de l’état de son horloge, puis vider les fonds sans recourir à des techniques de phishing ou de malware, et même sans accès physique aux appareils concernés.

Le décompte de Galaxy attribue la plus grande vague confirmée — la vague 1 — à 1 082,65 BTC retirés de 1 195 adresses dans les premières minutes. Cela représentait à l’époque environ 70,5 millions de dollars de Bitcoin volés.

L’empreinte E, le plus grand cluster confirmé par un propriétaire, a concerné 209,94 BTC (environ 13,3 millions de dollars) sur 2 148 adresses, tandis que la vague 3 a pris 208,24 BTC (près de 13 millions de dollars) sur 1 912 adresses.

Sur trois vagues confirmées et 41 empreintes plus petites, la société recense plus de 5 200 adresses vidées. Au bloc 962 304 (données du 13 août), 1 499,27 BTC — soit près de 93,9 millions de dollars — restaient non dépensés entre les mains des attaquants.

Among the confirmed, high-confidence waves and footprints of attacker activity, none occurred after August 6. Additional victims continue to report to Galaxy Research (we've spoken to 190+ directly), helping us directly attribute losses and confirm additional footprints, but none… pic.twitter.com/8jEdFdJEog

— Galaxy Research (@glxyresearch) August 14, 2026

Parmi la faible portion que Galaxy peut relier à une destination finale — 174,97 BTC — la majeure partie est passée par des tours de confidentialité coinjoin, des transactions qui regroupent des pièces de nombreux participants afin de masquer à qui appartiennent les fonds, avec de petites sommes arrivant chez KuCoin et Jump Crypto. Galaxy dit avoir parlé directement à plus de 190 victimes afin d’attribuer les pertes.

« Le ralentissement des vagues d’attaque est probablement dû au fait que les utilisateurs vulnérables ont migré ou que la plupart des fonds ont déjà été drainés », a écrit la société.

Galaxy a répété son conseil aux détenteurs : « Si vous détenez encore des fonds sur un portefeuille Coldcard à signature unique, il vous est conseillé de transférer vos fonds vers de nouvelles adresses. » L’avertissement vise les configurations à signature unique, car les portefeuilles multisignatures exigent plusieurs clés indépendantes pour autoriser une dépense, de sorte qu’une graine compromise ne suffit pas à elle seule à exposer les fonds.

L’épisode a déjà poussé environ 15 milliards de dollars de Bitcoin vers une conservation plus sûre et a suscité un avertissement de Ledger, qui estime que la sécurité des portefeuilles doit s’adapter à la découverte assistée par l’IA. D’autres acteurs du matériel ont également signalé une hausse du phishing sur fond de panique.

Galaxy conserve toujours une quatrième vague potentielle — 638,5 BTC qu’elle n’a pas confirmés — qui porterait le total à 2 417 BTC, soit plus de 151,3 millions de dollars aux prix actuels.