Une faille de sécurité dans les portefeuilles matériels Coldcard a ravivé le débat entre la garde autonome de Bitcoin et l’exposition via fonds négociés en bourse (ETF), après que Coinkite, le fabricant de l’appareil, a confirmé qu’une faiblesse dans la génération des phrases de récupération avait permis à des attaquants de vider des centaines d’adresses Bitcoin.

La vulnérabilité Coldcard

Comme signalé le 31 juillet pour la première fois, Coinkite a publié un avertissement après avoir découvert que certains appareils Coldcard généraient des graines de récupération avec une randomness insuffisante. La faille était particulièrement grave car le portefeuille matériel lui-même n’avait pas besoin d’être compromis. Si une phrase de récupération avait été créée avec une entropie faible, un attaquant pouvait énumérer un ensemble considérablement réduit de clés possibles jusqu’à trouver et vider le portefeuille.

Les portefeuilles matériels dépendent de générateurs internes de vrais nombres aléatoires pour produire l’entropie qui sous-tend chaque clé privée. Lorsque cette entropie est faible, la base cryptographique s’effondre, quelle que soit la robustesse du reste de l’architecture de sécurité de l’appareil. Des défaillances similaires de RNG sont déjà apparues dans l’écosystème crypto au sens large, notamment une faille en 2013 dans le générateur de nombres aléatoires sécurisé d’Android qui a rendu vulnérables les portefeuilles Bitcoin sur les appareils concernés, faisant de cette catégorie de bug une préoccupation récurrente plutôt qu’un incident isolé.

L’avis de Coinkite couvrait initialement les anciens appareils Mk2 et Mk3, mais a ensuite été élargi. Les graines créées sur les modèles Mk4, Mk5 et Q avant les versions corrigées du micrologiciel étaient également concernées, bien que l’entreprise ait indiqué que la faiblesse était moins grave sur le matériel plus récent.

La mise à jour du micrologiciel de l’appareil empêche la génération de nouvelles graines faibles, mais ne peut pas corriger celles déjà créées. Coinkite a publié des conseils pour arrêter les transferts en attente à l’intention des utilisateurs concernés.

Les flux entrants des ETF coïncident avec l’incident

Les données SoSoValue montrent que les ETF Bitcoin au comptant aux États-Unis ont enregistré des entrées nettes pendant quatre séances de négociation consécutives après l’annonce publique de l’incident Coldcard. Toutefois, aucune preuve ne relie ces flux à des utilisateurs Coldcard touchés. La demande d’ETF est influencée par le prix du Bitcoin, les stratégies d’allocation institutionnelle, les conditions macroéconomiques et d’autres facteurs totalement indépendants de la vulnérabilité du portefeuille.

Les premiers ETF Bitcoin au comptant aux États-Unis ont été lancés en janvier 2024 après des années de refus de la SEC, créant une nouvelle voie institutionnelle pour l’exposition au Bitcoin qui n’existait pas lors des précédents incidents touchant des portefeuilles matériels. Leur adoption rapide a rendu la question de la garde autonome par rapport à l’ETF plus saillante qu’auparavant, lorsque détenir du Bitcoin directement ou via une plateforme crypto constituait les principales alternatives.

Garde autonome contre garde via ETF

L’incident souligne un arbitrage central dans la garde du Bitcoin. La garde autonome confère au détenteur un contrôle direct sur ses actifs, mais aussi l’entière responsabilité de la sécurisation du matériel, du logiciel, du processus de récupération et des clés cryptographiques. Si une graine est volée, exposée ou générée incorrectement, aucune institution ne peut inverser la transaction qui en résulte. La blockchain du Bitcoin est conçue pour être immuable, ce qui signifie que les transactions sont irréversibles par conception — une caractéristique qui devient un inconvénient lorsqu’une faille comme celle de Coldcard entraîne des transferts non autorisés.

Un ETF Bitcoin au comptant transfère cette charge. L’investisseur détient un titre dans un compte-titres plutôt que de contrôler directement les clés privées du Bitcoin. Le fonds et ses dépositaires institutionnels gèrent les coins sous-jacents. La SEC souligne que les produits Bitcoin au comptant peuvent supprimer certains risques directs associés à l’utilisation personnelle d’anciens d’échange crypto, de portefeuilles et de clés cryptographiques.

L’assurance et les protections réglementaires diffèrent

La garde via ETF n’équivaut pas à un dépôt bancaire assuré. L’assurance FDIC ne couvre pas le Bitcoin, les actions ni les parts d’ETF. Elle s’applique uniquement aux dépôts bancaires éligibles, comme les comptes chèques et d’épargne.

Le SIPC offre une protection plus limitée au niveau du courtage. Si des parts d’ETF sont détenues via un courtier membre du SIPC et que ce courtier fait défaut avec des titres clients manquants, les espèces et titres éligibles peuvent être protégés jusqu’à 500,000 $ par client, dont jusqu’à 250,000 $ pour les espèces. Le SIPC vise à restaurer les actifs de courtage manquants ; il n’indemnise pas les investisseurs pour les pertes causées par la baisse du prix du Bitcoin.

Le iShares Bitcoin Trust (IBIT) de BlackRock, par exemple, utilise des dépositaires institutionnels de Bitcoin, dont Coinbase Custody, les actifs sous-jacents étant détenus au nom du trust. BlackRock indique que le trust lui-même n’est assuré ni par la FDIC ni par le SIPC, et que ni le trust ni son sponsor n’assurent son Bitcoin.

Les mêmes informations de BlackRock précisent que Coinbase maintient une assurance commerciale contre les crimes couvrant certains événements tels que le vol, les piratages et les transferts frauduleux, mais que la police est partagée entre l’ensemble des clients Coinbase et peut ne pas suffire à couvrir toutes les pertes possibles.

Les produits Bitcoin au comptant aux États-Unis diffèrent également des ETF traditionnels enregistrés. Ils sont généralement structurés comme des trusts de matières premières négociés en bourse plutôt que comme des sociétés d’investissement enregistrées en vertu de l’Investment Company Act de 1940, ce qui signifie qu’ils ne bénéficient pas de toutes les protections statutaires applicables aux fonds communs de placement ordinaires et aux ETF enregistrés.

L’offre détenue par les détenteurs de long terme recule, mais la destination reste inconnue

Les données sur les détenteurs de long terme de Bitcoin ont également évolué pendant la même période.

Selon les données de Glassnode sur l’offre des détenteurs de long terme, environ 210,000 BTC ont quitté le groupe au cours de la semaine écoulée, soit la plus forte baisse depuis décembre 2024 sur la base de la période fournie. L’offre détenue par les détenteurs de long terme s’établit désormais à environ 14.77 million de BTC, la dernière lecture de Glassnode étant de 14.7729 million.

Glassnode ne classe pas chaque portefeuille inactif pendant exactement 155 jours comme un détenteur de long terme. Son modèle fonctionne au niveau de l’entité et utilise l’âge des coins autour d’un seuil de 155 jours pour distinguer les comportements de détention à court et à plus long terme.

Une baisse de l’offre des détenteurs de long terme montre que le Bitcoin ancien devient plus liquide. L’indicateur ne révèle pas où ces coins sont allés. Ils ont pu être vendus ou transférés entre portefeuilles, dépositaires ou structures d’investissement, et ces données ne permettent pas de relier ces mouvements à Coldcard ou aux flux entrants des ETF.

La défaillance de Coldcard montre pourquoi la garde reste l’une des décisions pratiques les plus déterminantes pour Bitcoin. La garde autonome place la sécurité entre les mains du détenteur, tandis qu’un ETF repose sur des courtiers, des sponsors de fonds et des dépositaires institutionnels.

Méthodologie : Cet article s’appuie sur l’avis de Coinkite concernant Coldcard, les données de flux d’ETF de SoSoValue, les métriques de détenteurs de long terme de Glassnode, ainsi que sur des informations publiques de la SEC, de la FDIC, du SIPC et de BlackRock.

Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d’investissement ou de sécurité. La garde du Bitcoin et les produits ETF comportent des risques différents, et les données de marché passées ou actuelles ne garantissent pas les résultats futurs.

L’article Coldcard Flaw Revives Bitcoin Wallet vs ETF Debate est apparu en premier sur Coindoo.