Une vulnérabilité qui se propage et pèse sur l’autogarde
Les détenteurs de bitcoins utilisant des cold wallets ColdCard sont confrontés à une série d’attaques successives. Selon un bilan partagé par Galaxy Research, au moins 1 596 BTC auraient déjà été détournés, répartis sur environ 7 300 adresses, au travers de trois vagues d’attaques principales et d’une quinzaine d’incidents annexes. En intégrant des cas suspects non confirmés, le total pourrait grimper jusqu’à 2 000 BTC — soit près de 130 millions de dollars au cours mentionné par la source.
Des attaquants multiples, pas un seul exploit
La caractéristique la plus inquiétante de cette affaire est la diversité des acteurs impliqués. D’après Alex Thorn, responsable recherche chez Galaxy, la faille n’est plus exploitée par un opérateur isolé : au moins 15 hackers auraient profité de la vulnérabilité. Cette dispersion complique l’enquête et la mise en place de ripostes centralisées — notamment le traçage des fonds et la coordination avec les plateformes d’échange pour geler des adresses.
"now NUMEROUS different attackers exploiting the Coldcard vulnerability. we estimate at least 15 different attackers now" — Alex Thorn
Chiffres clés
| Indicateur | Valeur rapportée |
|---|---|
| BTC volés (confirmés) | 1 596 BTC |
| Adresses affectées | ~7 300 |
| Attaquants estimés | ≥ 15 |
| Estimation maximale (cas suspects) | 2 000 BTC (~130 M$) |
Conséquences techniques et pratiques pour les utilisateurs
- Le défaut semble cibler des appareils ColdCard en autogarde : la responsabilité n’est donc pas transférée à un tiers, ce qui réveille le débat entre custodial et non-custodial.
- La pluralité d’attaquants réduit l’efficacité d’un simple patch ou d’une réponse judiciaire unique : les vecteurs d’intrusion pourraient varier.
- Les victimes doivent signaler rapidement les faits aux autorités compétentes et fournir les éléments d’identification des transactions pour aider au traçage.
Que faire si vous détenez un ColdCard ?
Sans présumer de l’origine exacte de la faille (firmware, chaîne d’approvisionnement, ou compromission physique), les bonnes pratiques s’imposent : vérifier les communications officielles du fabricant, ne pas appliquer de mises à jour non vérifiées, isoler tout appareil suspect, et, pour les montants significatifs, envisager des procédures de migration vers des dispositifs dont l’intégrité est confirmée. Les conseils de Galaxy Research et des spécialistes du secteur consistent également à documenter toute anomalie pour faciliter les signalements.
Cette affaire illustre une ambiguïté durable du secteur : la promesse de souveraineté offerte par l’autogarde s’accompagne d’une exposition opérationnelle importante. Tant que des vulnérabilités matérielles ou logicielles subsistent, le transfert du risque vers un tiers reste une option que certains détenteurs préféreront, au prix d’une contrepartie en matière de confiance et de confidentialité.
