Une réponse technique à une faille aux conséquences financières
Après la découverte d’une faille de génération aléatoire affectant le hardware wallet Coldcard — incident qui a coûté plus de 100 millions de dollars à ses utilisateurs — une équipe de recherche baptisée Bitcoin Red Team s’est réunie début août 2026 pour passer au crible l’écosystème logiciel autour de Bitcoin. Le bilan publié par le développeur connu sous le pseudonyme Calle (@callebtc) met en lumière un constat préoccupant : ce n’est pas le protocole Bitcoin lui‑même qui est en cause, mais bien l’ensemble des implémentations et services qui gravitent autour de lui.
« La situation est critique. »
Le message de Calle précise que, contrairement au noyau du réseau — Bitcoin Core — qui avait bénéficié en 2025 d’un audit indépendant de longue durée mené par la société française Quarkslab sans faille critique détectée, les porte‑feuilles matériels et logiciels, les bibliothèques cryptographiques, les implémentations Lightning et les services tiers présentent de nombreuses vulnérabilités.
Méthodologie : IA + expertise humaine
La Red Team, co‑dirigée par Calle et Rob Hamilton (CEO d’AnchorWatch), réunit une quinzaine de chercheurs qui scrutent « des centaines » de projets open source. Leur démarche associe inspection humaine et modèles d’intelligence artificielle. Les outils cités incluent principalement des modèles développés en Chine — Kimi K3 (Moonshot AI) et GLM 5.2 (Z.ai) — complétés ponctuellement par des modèles américains fournis par OpenAI et Anthropic. Le recours à des modèles chinois s’explique en partie par des restrictions imposées par certains laboratoires américains sur la recherche offensive en cybersécurité.
- Participants : ~15 chercheurs.
- Domaines audités : wallets matériels et logiciels, bibliothèques cryptographiques, Lightning, services de paiement, outils d’infrastructure.
- Outils IA : Kimi K3, GLM 5.2, plus OpenAI et Anthropic.
Ce que révèle l’examen
Selon les premiers retours, l’écosystème applicatif de Bitcoin est fragmenté et souvent bâti sur des décennies de code open source dont la qualité varie fortement. Là où le protocole de base est robuste grâce à des audits soutenus, les couches périphériques présentent des faiblesses exploitables — ce qui explique en partie la portée financière de l’incident Coldcard. Calle souligne que cette crise déclenche néanmoins un mouvement salutaire : l’utilisation de l’IA pour accélérer la découverte de vulnérabilités force à corriger et renforcer ces composants.
Conséquences et enjeux pour la filière
La portée nationale et internationale de ce travail est multiple. D’une part, il rappelle que la sécurité d’un réseau décentralisé dépend autant de son protocole que de l’ensemble des logiciels clients et services qui s’y connectent. D’autre part, l’emploi massif d’outils d’IA dans des recherches offensives pose des questions d’éthique, d’accès aux outils et de réglementation — notamment lorsque des laboratoires limitent l’usage de leurs modèles pour ce type d’investigation.
| Élément | Donnée citée |
|---|---|
| Pertes liées à Coldcard | +100 millions de dollars |
| Durée de l’audit Bitcoin Core (Quarkslab) | ~100 jours (2025) |
| Nombre de chercheurs dans la Red Team | ~15 |
Pour les acteurs français du secteur, ces découvertes renforcent l’intérêt d’investir dans des audits indépendants et dans la formation des équipes de développement. Elles appellent aussi à une réflexion sur la chaîne d’approvisionnement logicielle et sur les pratiques de revue de code dans les projets open source qui gèrent des fonds.
En l’état, la Red Team qualifie la situation de difficile, mais non terminale : c’est par la détection et la correction des failles que l’écosystème peut gagner en résilience. Reste à traduire ce constat en actions durables — audits réguliers, meilleures pratiques de développement, et coordination internationale sur l’usage de l’IA en sécurité.
