Des attaquants ont drainé environ 1,367 Bitcoin de portefeuilles matériels Coldcard, pour une valeur estimée à environ USD 85 million. La cause profonde est une vulnérabilité dans la manière dont les appareils Coldcard génèrent les clés cryptographiques, un coup dur pour le principe de la self-custody.

Les portefeuilles matériels sont des appareils physiques qui créent et stockent entièrement hors ligne les clés privées d'une détention en cryptomonnaie. La clé ne quitte jamais l'appareil, même lors de la signature d'une transaction. Cette méthode fonctionne indépendamment des banques ou des exchanges et est largement considérée comme le mode de stockage le plus sûr disponible. Coldcard, fabriqué par la société canadienne Coinkite, est l'un des portefeuilles matériels les plus connus conçus exclusivement pour Bitcoin et a été largement recommandé dans les communautés axées sur la self-custody et la confidentialité. Toutefois, depuis plus de cinq ans, une faille de firmware rendait prévisibles les clés générées par ces appareils.

Comment la vulnérabilité Coldcard a rendu les clés privées calculables

L'accès à un portefeuille Bitcoin repose sur un seul nombre aléatoire. À partir de ce nombre, l'appareil dérive la seed phrase — un ensemble de 12 ou 24 mots de récupération conformes au standard BIP-39, la spécification commune utilisée par pratiquement tous les fabricants de portefeuilles matériels. Ces mots peuvent restaurer l'intégralité d'une détention en cas d'urgence. Si ce nombre initial n'est pas véritablement aléatoire, en revanche, un tiers peut le recalculer.

Sur les appareils Coldcard, le générateur matériel de nombres aléatoires intégré au microcontrôleur STM32 — une famille de puces largement déployée de STMicroelectronics utilisée dans de nombreux systèmes embarqués — était censé accomplir cette tâche critique. Un paramètre de compilation avait toutefois désactivé le générateur. En outre, une routine de vérification dans la bibliothèque libngu ne contrôlait que l'existence du paramètre, et non son activation réelle. Le firmware est donc revenu vers un mécanisme de secours. Son entropie provenait du numéro de série du microcontrôleur, d'un compteur système et des registres de l'horloge temps réel. Aucune de ces valeurs n'est secrète ; un attaquant peut lire une partie du numéro de série via USB. Sur le modèle Mk3, le compteur système ne couvre qu'environ 80,000 valeurs possibles, soit un espace de recherche bien inférieur à ce qui est considéré comme cryptographiquement sûr. Quiconque connaît la formule peut reconstituer les clés.

Les portefeuilles concernés sont ceux dont la seed a été générée sur un firmware vulnérable après le 1 March 2021. Cela s'applique principalement aux portefeuilles à signature unique, mais les configurations multisig sont également vulnérables si chaque appareil participant est concerné. La même source d'entropie défaillante alimentait aussi les clés de paper wallet, les masques XOR de seed, le chiffrement des clones d'appareils, les secrets Web2FA et les mots de passe stockés. Tout utilisateur d'un appareil concerné doit considérer comme compromis chaque secret créé sur celui-ci.

1,367 Bitcoin drainés jusqu'ici

La première vague de sorties a eu lieu dans la nuit du 30 July. En environ 41 minutes, entre 594 et 1,083 BTC ont quitté entre 500 et 1,200 adresses, selon le comptage. D'autres vagues ont suivi dans les jours suivants, et pour la troisième, Galaxy Research signale 207.73 BTC. Au total, le préjudice s'élève à environ 1,367 BTC provenant de 4,585 adresses affectées.

Le processus n'est toutefois pas terminé. Le 3 August, Galaxy Research a signalé une quatrième vague suspectée, d'abord estimée à 388.93 BTC provenant de 462 adresses. Des chiffres révisés l'ont ensuite portée à 448.73 BTC provenant de 709 adresses. Lors de ce premier décompte intermédiaire, les mouvements se sont concentrés dans les blocs 960,778 à 960,792, soit environ deux heures et demie. Le rythme s'établit donc à environ 13.8 transactions de sweep par bloc, soit environ 45 fois le niveau observé avant l'incident. Si cette vague se confirme, le préjudice grimperait à environ 1,816 BTC, soit environ USD 113 million.

Le comportement après les sorties est également notable. Rien n'a encore bougé depuis les adresses de réception identifiées. Pour un vol de cette ampleur, cela est inhabituel. Les analystes ont en outre signalé environ 600 adresses suspectes aux forces de l'ordre, aux sociétés de conformité et aux enquêteurs en cybersécurité.

Coinkite publie un firmware corrigé et suspend les expéditions

Le fabricant Coinkite a reconnu la faille fin July et a mis à jour à nouveau l'avis de sécurité au début de August. La société ne confirme toutefois pas de lien direct avec les sorties observées.

L'avis couvre les modèles Mk2 et Mk3 exécutant les versions 4.0.1 à 4.1.9. Les appareils Mk4 et Mk5 exécutant des versions antérieures à Standard 5.6.0 ou Edge 6.6.0X sont également concernés, tout comme le modèle Q avant Standard 1.5.0Q ou Edge 6.6.0QX. Un firmware corrigé est désormais disponible pour chaque modèle concerné : Mk2 et Mk3 reçoivent la version 4.2.0, Mk4 et Mk5 reçoivent Standard 5.6.0, et le Q reçoit 1.5.0Q.

Une mise à jour ne suffit toutefois pas, car l'ancienne seed reste calculable. En substance, Coinkite conseille aux utilisateurs concernés de mettre à jour le firmware et de générer une nouvelle seed. Après une petite transaction de test, ils doivent transférer le solde vers les nouvelles adresses. Les utilisateurs doivent vérifier la nouvelle sauvegarde avant le transfert. Un groupe peut éviter la migration. Cette exemption concerne les utilisateurs qui ont généré eux-mêmes la seed lors de la configuration avec au moins 50 lancers de dés indépendants. Ces utilisateurs ne doivent pas non plus avoir noté ces lancers quelque part. Une phrase secrète BIP-39 solide ne remplace pas la migration. Selon l'avis, elle ne sert que de barrière supplémentaire.

La société a également cessé d'expédier de nouveaux appareils et a détruit les stocks restants contenant le firmware concerné.

"Les clients concernés qui avaient déjà reçu leurs appareils ont été contactés directement avec une recommandation et les étapes de migration. Notre priorité absolue est désormais d'aider les utilisateurs concernés à migrer en toute sécurité." - Coinkite, déclaration de l'entreprise

Les compromissions de clés expliquent la plupart des pertes liées aux piratages

Rapporté à l'ensemble du secteur, ce cas n'est pas une exception. Au cours du premier semestre 2026, les attaquants ont dérobé environ USD 972 million dans le monde, selon TRM Labs. Par rapport aux USD 2.3 billion de la même période l'année précédente, cela représente une baisse de plus de 50 percent. Dans le même temps, le nombre d'incidents a atteint un record de 207. Au premier semestre 2025, il s'élevait à 83. Le montant volé diminue. Le nombre d'attaques augmente.

Les pertes se concentrent dans une seule catégorie. Plus précisément, les compromissions d'infrastructure et de clés représentent environ 15 percent des incidents, selon TRM. Pourtant, elles causent environ 76 percent des dommages totaux. C'est précisément dans cette catégorie que s'inscrit l'incident Coldcard, d'autant plus que la faille a touché directement la génération de clés. Une seule erreur à ce stade se répercute pendant des années et sur des milliers d'appareils.

Les acteurs liés à des États forment le plus grand bloc unique. Les groupes liés à la Corée du Nord, tels que Lazarus et TraderTraitor, représentent environ USD 643 million, rapporte TRM. Cela correspond à environ 66 percent des pertes du semestre. Les attaques d'avril contre Drift et KelpDAO en ont généré la majeure partie. Par conséquent, l'incident Coldcard ne crée pas un nouveau risque. Il montre où se situe le risque existant. L'endroit et la manière dont le matériel de clé est généré déterminent la sécurité d'une détention. Le fait que ces clés soient ensuite conservées par un dépositaire ou sur un appareil à domicile n'intervient qu'ensuite.