Un défaut logiciel exploité sur des hardware wallets très prisés
Depuis le 31 juillet, des utilisateurs de portefeuilles frigorifiques Coldcard se sont fait dérober une quantité importante de bitcoins. Selon les éléments publiés dans la presse et relayés par l'éditeur Galaxy, la perte porte sur 1 755 bitcoins, soit environ 110 millions de dollars, répartis sur plus de 5 000 adresses.
Les appareils Coldcard, fabriqués par la société Coinkite, sont des hardware wallets — des clés matérielles conçues pour générer et conserver hors ligne les clés privées nécessaires aux transactions en cryptoactifs. Ils sont particulièrement appréciés par les défenseurs du bitcoin pour leur approche de sécurité dite « air-gapped » et la génération locale des phrases de récupération en 24 mots.
La faille : une ligne de code qui affaiblit le générateur
Un avis de sécurité publié par la société Block et repris par plusieurs médias explique que « une de ses lignes de code défectueuse a fait basculer certains appareils vers un générateur bien plus faible », fragilisant la robustesse des clés et facilitant l'extraction des codes par des attaquants sans accès physique aux appareils.
« fait basculer certains appareils vers un générateur bien plus faible. Autrement dit, elle a fragilisé la sécurité des portefeuilles Coldcard. »
Coinkite a reconnu la vulnérabilité et indiqué qu'elle remonte à mars 2021. Par précaution, l'entreprise a annoncé la suspension des expéditions de ces portefeuilles et a pris des mesures opérationnelles afin de limiter l'exposition des utilisateurs.
Conséquences pratiques et points de vigilance
- Perte financière directe : 1 755 BTC volés, évalués à ~110 M$ selon les sources rapportées.
- Portée : les fonds ont été siphonnés depuis plus de 5 000 adresses distinctes, ce qui suggère une exploitation automatisée et à grande échelle.
- Ancienneté du bug : la faille a été introduite en mars 2021, d'où la question de l'audit logiciel et des mises à jour sur des produits supposés sécurisés.
Ce que cela implique pour les détenteurs et l'écosystème
Techniquement, la faille porte sur la génération de la recovery phrase, l'élément-clé qui permet de reconstruire une clé privée. Si le générateur utilisé par l'appareil devient prévisible ou « plus faible », des attaquants peuvent, par force ou par calcul, reconstruire des phrases et donc transférer les fonds sans jamais posséder le matériel lui-même. C'est précisément ce mode d'attaque qui a été évoqué par les spécialistes cités.
Pour les détenteurs de Coldcard — y compris en France — la recommandation immédiate est d'attendre des directives officielles de Coinkite et, si possible, de ne pas utiliser les appareils potentiellement affectés pour générer ou restaurer des clés avant qu'un correctif vérifié ne soit publié. Les utilisateurs disposant déjà de fonds sur ces phrases de récupération devraient envisager, si c'est possible et sûr, la migration des avoirs vers des clés dont la génération est attestée comme non affectée.
Questions ouvertes et responsabilité des fabricants
Au-delà du cas Coldcard, cet incident pose une interrogation plus large : comment garantir qu'un produit dont la conception est censée réduire les risques ne devienne, par une erreur logicielle, une source d'exposition ? Les fabricants de hardware wallets reposent sur des logiciels embarqués et des bibliothèques cryptographiques ; l'audit, la revue de code indépendante et la transparence sur les mises à jour deviennent des éléments cruciaux pour rétablir la confiance.
| Élément | Valeur rapportée |
|---|---|
| Bitcoin volés | 1 755 BTC |
| Estimation en dollars | 110 millions $ |
| Adresses impactées | Plus de 5 000 |
| Origine du bug | Mars 2021 |
Enfin, il reste nécessaire de suivre l'évolution des enquêtes — tant techniques que judiciaires — et les annonces de Coinkite sur des correctifs, des procédures d'assistance aux clients et des éventuelles mesures de compensation. Dans l'immédiat, l'incident rappelle que la promesse de sécurité absolue n'existe pas : même des produits conçus pour réduire drastiquement les risques peuvent être compromis par une erreur de code.
