Une faille logicielle datant de 2021 exploitée pour vider des portefeuilles Coldcard
Les prix du Bitcoin ont peu bougé cette semaine, mais derrière la stabilité apparente se cache un incident d'ampleur : le piratage des portefeuilles froids Coldcard, qui aurait permis le vol d'un montant estimé à plus de 100 millions de dollars. Selon les informations disponibles, la brèche ne résulte pas d'une erreur d'utilisateur mais d'une faiblesse technique introduite lors d'une mise à jour de firmware publiée en mars 2021.
Comment la vulnérabilité fonctionnait
La mécanique révélée par les enquêtes indique que la génération des phrases de récupération (seed) n'utilisait pas, à l'époque, un générateur de nombres aléatoires matériel, mais une version logicielle. Les données d'entrée étant partiellement prévisibles — notamment le numéro de série de la puce et l'horloge système — des acteurs malveillants ont pu en déduire les clés et transférer les fonds à distance, sans accès physique aux appareils. Ce modus operandi contraste avec le scénario classique de compromission (phishing, perte de seed, attaque physique) et remet en cause des hypothèses centrales sur la supériorité absolue du stockage « à froid ».
Conséquences immédiates sur les flux et le marché
En réaction, de nombreux détenteurs ont choisi de déplacer leurs avoirs vers des adresses jugées « plus sûres » ou vers des plateformes d'échange centralisées. Ce mouvement massif a alimenté des inquiétudes quant à une potentielle pression vendeuse, susceptible d'affecter le cours par déséquilibre offre/demande. Pourtant, les cours du Bitcoin sont restés relativement stables ces derniers jours : les données publiques montrent un prix autour de 64 923 $, avec une progression hebdomadaire modeste.
- Montant volé : estimé à plus de 100 millions de dollars.
- Origine technique : mise à jour firmware de mars 2021, génération de seed logicielle.
- Impact marché : transferts massifs vers plateformes centralisées, mais prix du Bitcoin resté stable à court terme.
Ce que cela implique pour les détenteurs et les fournisseurs
Pour les utilisateurs, le message est clair : la confiance dans un produit matériel repose autant sur la robustesse de son code que sur sa conception physique. Les recommandations publiques invitent à transférer rapidement les fonds vers des clés dont le générateur d'entropie est matériel ou vers des solutions dont le constructeur a fourni des correctifs audités. Du côté des fabricants, cet épisode devrait accélérer les audits indépendants et l'adoption de pratiques rigoureuses de gestion des mises à jour (signatures de firmware, processus de divulgation coordonnée).
Risques systémiques et pistes d'atténuation
À plus large échelle, ce type d'attaque interroge la résilience du marché. Un afflux ponctuel de crypto-actifs vers des exchanges centralisés augmente la liquidité mais accroît aussi la vulnérabilité aux mouvements de prix brusques si une partie significative des avoirs est ensuite liquidée. Les autorités de marché et les régulateurs — en France comme ailleurs — pourront être amenés à surveiller ces flux et à demander davantage de transparence sur la sécurité des solutions de stockage.
| Élément | Valeur |
|---|---|
| Prix BTC signalé | 64 923 $ |
| Montant volé estimé | +100 millions $ |
| Date de la mise à jour incriminée | mars 2021 |
Ce qui reste à vérifier
Plusieurs éléments demandent confirmation : l'étendue exacte des portefeuilles affectés, la liste précise des versions de firmware vulnérables, et l'identité (ou la tactique) des attaquants. Les sommes avancées restent des estimations basées sur les transactions observées publiquement sur la blockchain et sur des signalements d'utilisateurs. Tant que les fabricants et les équipes d'analyse n'auront pas publié des rapports techniques complets et des correctifs vérifiables, une part d'incertitude subsistera.
En l'état, il convient de rappeler une règle simple mais rarement absolue : la sécurité d'un portefeuille ne repose pas uniquement sur son statut « matériel » mais sur l'ensemble de son cycle de vie — conception, génération des clés, mises à jour et procédures de récupération. Les détenteurs français et européens devraient, en attendant des éléments techniques définitifs, envisager des mesures conservatoires et privilégier les dispositifs dont les composants d'entropie sont matériels et audités.
