Une brèche ancienne, des conséquences immédiates
Fin juillet, une attaque a exploité une faiblesse logicielle présente dans le firmware des portefeuilles matériels Coldcard Mk3, dont une partie du code datait de mars 2021. Selon des analyses publiées publiquement, l'opération a permis de dérober 1 082,65 BTC — soit environ 70 millions de dollars — répartis sur 1 196 adresses, et l'ensemble s'est réalisé en seulement 41 minutes. Ces chiffres proviennent d'études on-chain compilées par des équipes de recherche du secteur.
Comment l'attaque a-t-elle fonctionné ?
Les éléments techniques disponibles indiquent que le générateur d'entropie pseudo-aléatoire intégré au firmware a été la porte d'entrée. L'exploit a ciblé principalement des portefeuilles configurés en signature unique, en utilisant des frais de transaction constants de 30 sat/vB et sans adresse de rendu de monnaie, signe d'une opération coordonnée et automatisée.
- Montant volé : 1 082,65 BTC
- Adresses affectées : 1 196
- Durée de l'opération : 41 minutes
- Composant vulnérable : générateur d'entropie du firmware (code daté de mars 2021)
Conséquences pour les utilisateurs
Le fabricant a publié une mise à jour du firmware, mais les analystes avertissent que le simple patch ne suffit pas. Les détenteurs concernés doivent impérativement générer une nouvelle phrase de récupération et transférer leurs fonds vers des adresses sûres — idéalement après avoir vérifié l'intégrité de l'appareil. Des voix du marché, dont le fondateur d'une grande plateforme d'échange, ont conseillé de répartir les avoirs sur plusieurs dispositifs et méthodes de stockage pour limiter l'exposition.
Impact sur la confiance et le marché
La divulgation intervient dans une période de mouvement haussier relatif pour les cryptomonnaies et à l'approche de deux échéances protocolaires importantes : le vote des mineurs sur le soft fork BIP-110 (prévu le 7 août) et la possible scission vers eCash (prévue le 21 août). Au-delà de la perte financière immédiate, cette affaire ravive le débat sur la fiabilité du cold storage comme rempart ultime. Si la conservation autonome reste une option recommandée pour ceux qui maîtrisent les bonnes pratiques, cet incident montre que les risques techniques et humains persistent.
Que faire maintenant ?
En pratique, les recommandations sont claires et conservatrices :
- Appliquer toute mise à jour officielle de firmware, mais ne pas considérer cela comme une solution suffisante ;
- Générer une nouvelle seed phrase sur un dispositif sain et migrer les avoirs ;
- Diviser les réserves entre plusieurs méthodes de stockage (multisignature, hardware distincts, services de garde pour une part) ;
- Surveiller les communications officielles de Coinkite et des analystes on-chain pour identifier les adresses compromises.
| Indicateur | Valeur |
|---|---|
| Bitcoin détournés | 1 082,65 BTC |
| Adresses touchées | 1 196 |
| Temps d'exécution | 41 minutes |
Cette affaire ne transforme pas par elle-même les principes de sécurité, mais elle rappelle qu'aucune solution n'est exemptée de défauts. Les acteurs — particuliers et institutions — gagneraient à revoir leurs procédures de gestion des clés et à intégrer des tests d'audit réguliers. Sur les marchés, la fracture entre pratiques idéales et exécution opérationnelle continue d'être la première cause de pertes.
