Un piratage massif des Coldcard met en question la sécurité des hardware wallets
Une série d'attaques informatiques visant des porte‑monnaie matériels vendus par la société canadienne CoinKite a permis le vol de sommes importantes en bitcoin, a rapporté la presse canadienne et des sociétés d'analyse blockchain. En quelques vagues successives, des pirates ont exploité une faille liée à une mise à jour logicielle pour transférer des fonds hors de milliers d'adresses.
Les observations initiales proviennent de Galaxy Research, qui a identifié qu'en 41 minutes plus de 1 000 bitcoins avaient été déplacés depuis plus de 1 000 adresses — un volume évalué à l'époque à environ 99 millions de dollars canadiens. Les investigations ultérieures ont porté le total des jetons subtilisés à plus de 1 500 unités issues de 7 300 adresses, selon les mêmes analyses.
Comment la faille a-t-elle été exploitée ?
CoinKite a attribué l'origine du problème à une mise à jour logicielle publiée en mars 2021. Des équipes d'ingénieurs externes, dont celle de Block, Inc., ont corroboré les constats et noté que certaines versions des appareils Coldcard auraient vu des fonctions essentielles affaiblies. Galaxy Research a précisé que ses conclusions reposent sur une analyse de chaînes de blocs et qu'elle n'avait pas vérifié individuellement si tous les portefeuilles affectés avaient été initialement créés via le logiciel compromis.
- Première vague : repérée par les ingénieurs de Block et confirmée par Galaxy Research.
- Trois vagues confirmées au total, plus 14 incidents de moindre ampleur.
- 73 victimes ont sollicité de l'aide pour retrouver leurs bitcoins, selon Galaxy Research.
Chiffres clés
| Élément | Valeur |
|---|---|
| Bitcoin initialement identifié | ~1 000 BTC (≈99 M$ CAD) |
| Total ultérieur signalé | >1 500 jetons depuis 7 300 adresses |
| Nombre de vagues | 3 vagues confirmées + 14 incidents |
| Victimes ayant demandé de l'aide | 73 |
| Origine probable | Mise à jour logicielle de mars 2021 |
Conséquences et questions ouvertes
Ce vol interroge directement la promesse des hardware wallets : isoler les clés privées hors ligne pour empêcher exactement ce type d’attaque. Si la cause retenue est bien une mise à jour logicielle, cela souligne la difficulté à concilier évolutivité fonctionnelle et inviolabilité des appareils. Ces incidents rappellent aussi que l'« hors ligne » n'est pas synonyme d'« invulnérable » lorsque des chaînes de processus logicielles ont été modifiées.
Plusieurs incertitudes demeurent et méritent d'être précisées : notamment la portée exacte des versions affectées, le vecteur précis d'exploitation (mise à jour détournée, chaîne d'approvisionnement compromise, ou autre), et le statut des fonds restants. Galaxy Research a pris soin de préciser que son travail repose sur l'analyse blockchain, sans vérifications individuelles des portefeuilles compromis.
Pour les détenteurs français de Coldcard, la recommandation pragmatique reste la prudence : vérifier les avis officiels de CoinKite, éviter d'appliquer des mises à jour non vérifiées, et considérer des mesures de sécurité complémentaires comme la migration vers des dispositifs dont l'intégrité logicielle est confirmée.
À défaut d'éléments judiciaires publics supplémentaires, une partie des conclusions restera spéculative : il convient de distinguer ce que permettent d'établir les traces blockchain de ce qui relève d'hypothèses techniques sur l'origine de la compromission.
