Vultisig, le développeur d'un portefeuille de cryptomonnaies multi-signatures, indique qu'une mise à jour publiée en août 2025 a résolu une vulnérabilité de clé privée dans son logiciel. La société n'a pas publicly communiqué quelles versions étaient concernées, quelles conditions pouvaient déclencher la faille, ni si des fonds d'utilisateurs ont été compromis avant la publication du correctif.

Selon un rapport de CryptoSlate, le problème correspond à une fuite critique de clé privée que les mises à jour d'août ont bloquée. L'enjeu de cette catégorie est particulièrement élevé : une clé privée fonctionne comme le mot de passe maître de tout portefeuille de cryptomonnaies, et quiconque la détient contrôle entièrement les fonds du portefeuille, ce qui en fait l'une des vulnérabilités les plus graves auxquelles un fournisseur de portefeuille puisse être confronté.

Au-delà de l'attribution de la remédiation aux mises à jour publiées en août, Vultisig n'a émis aucun avis de sécurité public. Au moment de la rédaction, il n'existe ni identifiant CVE, ni plage de versions concernées, ni documentation technique confirmant la portée du correctif. Les identifiants CVE constituent le système standardisé utilisé dans l'industrie du logiciel pour recenser les vulnérabilités divulguées publiquement, offrant aux utilisateurs et aux équipes de sécurité un point de référence commun pour vérifier si leurs propres installations sont concernées.

Pourquoi une vulnérabilité de clé privée est grave

Une clé privée est une longue chaîne de caractères générée lors de la création d'un portefeuille de cryptomonnaies. Elle est comparable à la combinaison d'un coffre-fort : quiconque la connaît peut ouvrir le coffre et emporter tout ce qu'il contient. Dans le pire des cas, une vulnérabilité qui fuite ou expose des clés privées pourrait permettre à un attaquant de vider un portefeuille sans que le propriétaire n'ait commis la moindre erreur.

Vultisig repose sur le calcul multi-parties (MPC), une conception dans laquelle aucun appareil ne détient jamais la clé privée complète. À la place, la clé est divisée en « parts » réparties sur plusieurs appareils, réduisant le risque qu'un point de défaillance unique expose la clé entière. Une vulnérabilité dans un tel système pourrait impliquer une mauvaise gestion de ces parts de clé lors d'une opération de signature, bien que Vultisig n'ait pas confirmé le mécanisme spécifique dans les divulgations publiques examinées pour cet article.

Les failles de sécurité de ce type ne sont pas propres à Vultisig. Plus tôt cette année, Electrum a corrigé une faille permettant à des serveurs malveillants de faciliter le vol de Bitcoin, et le piratage d'un bot de trading Solana a drainé près d'un million de dollars sur 49 portefeuilles après que des attaquants ont découvert une faiblesse dans le stockage des clés privées. Dans tous ces incidents, le point commun est la gestion du matériel de clé privée — le composant du logiciel de portefeuille où un défaut se traduit le plus directement par une perte de fonds pour les utilisateurs.

Ce que les utilisateurs de Vultisig doivent faire maintenant

Pour les utilisateurs de Vultisig, l'étape la plus importante consiste à confirmer qu'ils utilisent la dernière version de l'application. Les mises à jour doivent être obtenues depuis la boutique d'applications ou le site officiel de Vultisig — jamais depuis des sites tiers, des boutiques d'applications non officielles ou des liens envoyés dans des messages sur les réseaux sociaux.

Les utilisateurs doivent également consulter les notes de version officielles de Vultisig ou toute communication de sécurité publiée sur son site web ou ses réseaux sociaux vérifiés. Ces documents devraient identifier les versions contenant la vulnérabilité et confirmer quelle build inclut le correctif. Si cette information est introuvable, les utilisateurs doivent contacter le support de Vultisig directement via les canaux officiels avant de considérer leur installation comme sûre.

En règle générale, ne partagez jamais votre phrase de récupération ni tout matériel de clé privée avec qui que ce soit, y compris des personnes se réclamant de l'équipe Vultisig. Les fournisseurs de portefeuille légitimes ne demanderont jamais ces informations. Toute personne contactant un utilisateur au sujet d'un problème de sécurité urgent et demandant une phrase seed mène une arnaque, pas un service d'assistance.

Pour mettre cela en perspective, la fuite de données dans le cloud de GMO Trading, qui a mis en danger plus de 26 000 serveurs, rappelle que les surfaces'attaque s'étendent au-delà de l'application de portefeuille elle-même.

Ce qui reste flou

Plusieurs détails essentiels ne sont pas encore confirmés dans les divulgations publiques. Vultisig n'a pas indiqué quels numéros de version spécifiques étaient vulnérables, si la faille nécessitait une action particulière de l'utilisateur pour être déclenchée, ni si des portefeuilles ont été exploités avant la publication du correctif. La société n'a pas non plus précisé si la vulnérabilité a été découverte en interne ou signalée par un chercheur en sécurité externe.

Les divulgations à surveiller ensuite sont un avis de sécurité formel avec un CVE attribué, la publication de la plage de versions concernées et une déclaration sur l'existence éventuelle de portefeuilles impactés. En attendant que Vultisig publie un avis de sécurité formel, les utilisateurs doivent considérer la mise à jour d'août comme obligatoire plutôt qu'optionnelle et vérifier leur statut d'installation dès que possible.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre des décisions.