Crédits : bitcointere / PxHere.
Une faille apparue en 2021 dans le micrologiciel de Coldcard a rendu prévisibles certaines phrases de récupération. Depuis le 30 juillet 2026, des milliers d’adresses ont été vidées à distance. Franceinfo évaluait le 3 août les vols à 1 755 bitcoins, plus de 110 millions de dollars, mais ce bilan reste provisoire. Les détenteurs concernés doivent changer de phrase, pas seulement mettre leur portefeuille crypto à jour.
Un bilan en plusieurs vagues, encore mouvant
La première vague précisément documentée s’est déroulée le 30 juillet entre 1 h 10 et 1 h 51 UTC. Galaxy Research a retracé le vidage intégral de 1 196 adresses. Au total, 1 082,65 BTC ont été transférés, alors valorisés à environ 70,2 millions de dollars. Les transactions présentaient toutes le même tarif de 30 satoshis par octet virtuel et ne rendaient aucune monnaie. Pour l’équipe d’analyse, cette régularité correspond à un balayage automatisé, pas à des retraits ordinaires effectués simultanément par les propriétaires.
Deux autres vagues ont ensuite porté l’estimation publiée par Galaxy Research le 1er août à 1 367,05 BTC sur 4 585 adresses. Franceinfo a publié le 3 août un bilan plus large de 1 755 BTC. Il portait sur plus de 5 000 adresses et environ 110 millions de dollars. Ce chiffre n’est toutefois pas un décompte primaire consolidé dans la première publication de Galaxy à laquelle renvoie l’article.
La prudence est d’autant plus nécessaire. Le 3 août, Alex Thorn, directeur de la recherche de Galaxy, a repéré une quatrième vague. Il la jugeait très probablement liée à Coldcard, sans la présenter comme définitivement attribuée. Elle représentait alors 388,927 BTC, 462 adresses et 218 transactions. Ces catégories ne peuvent pas être additionnées comme si elles avaient toutes le même niveau de certitude. Une adresse Bitcoin ne correspond pas non plus nécessairement à une personne. Mardi 4 août, le nombre de détenteurs touchés, le total définitif des pertes et l’identité de l’attaquant ou des attaquants restaient inconnus.
Comment un portefeuille hors ligne a-t-il pu être vidé à distance ?
Un portefeuille matériel ne contient pas les bitcoins eux-mêmes : ceux-ci restent inscrits sur la blockchain. L’appareil conserve les secrets qui permettent d’autoriser leur transfert. Lors de sa configuration, il crée une phrase de récupération, généralement composée de 12 à 24 mots. Les clés privées du portefeuille en sont ensuite dérivées.
Cette phrase doit être imprévisible. Les équipes Bitcoin Engineering and Security de Block ont publié une analyse technique. Elles y décrivent une erreur d’intégration entre le micrologiciel Coldcard et une bibliothèque logicielle. Un contrôle de compilation vérifiait qu’un paramètre était défini, mais pas qu’il était activé. Le programme a ainsi pu appeler un générateur logiciel déterministe à la place du générateur matériel prévu.
Le résultat pouvait ressembler à une suite aléatoire tout en provenant d’un espace de possibilités beaucoup plus restreint. Lui appliquer ensuite une fonction cryptographique ne recrée pas l’aléa absent : elle transforme seulement une valeur déjà prévisible. Avec assez d’informations sur l’appareil et son démarrage, un assaillant pouvait calculer hors ligne des phrases candidates. Il pouvait ensuite vérifier si elles correspondaient à une adresse publique.
La seule connaissance d’une adresse de portefeuille crypto ne permet donc pas de voler des fonds. Elle sert ici de moyen de contrôle. Lorsqu’une phrase candidate produit la même adresse, l’assaillant sait qu’il a retrouvé la clé privée. Celle-ci lui permet de signer une transaction. L’appareil peut rester éteint, rangé dans un coffre et n’avoir jamais été connecté à Internet. Une faiblesse présente lors de la création de ses secrets suffit à l’exposer.
Une régression introduite en mars 2021
Block situe le changement de code à l’origine de la régression au 1er mars 2021. Il est apparu dans le micrologiciel 4.0.0, publié le 17 mars, pour les modèles Mk2 et Mk3. L’entreprise précise cependant ne pas avoir mené de test d’exploitation complet sur chaque appareil. Elle présente son rapport comme une analyse précoce, dans l’attente de l’examen définitif du fabricant.
La portée exacte diffère encore selon les deux avis. Block classe les versions 4.0.0 à 4.1.9 des Mk2 et Mk3 dans le chemin vulnérable. Dans son avis du 1er août, Coinkite retient les versions 4.0.1 à 4.1.9 pour ces modèles. Pour les Mk4, Mk5 et Q, le fabricant estime que les phrases générées avant les versions corrigées avaient environ 72 bits d’entropie. Il en attendait 128. Il juge leur exposition moins sévère que celle des Mk2 et Mk3, mais toujours sérieuse.
Cette divergence de bornage ne change pas la règle de précaution donnée par Coinkite. Seul compte le micrologiciel utilisé au moment où la phrase a été générée. La date de fabrication de l’appareil et la version installée aujourd’hui ne sont pas déterminantes. Les analyses placent le Mk1, ainsi que les Mk2 et Mk3 en version 3.2.2 ou antérieure, hors de cette régression. Coinkite affirme par ailleurs que Satscard, Opendime et Tapsigner ne sont pas concernés, car ils reposent sur d’autres bases de code.
Pourquoi la mise à jour ne suffit pas
Les versions corrigées empêchent la création d’une nouvelle phrase faible. Elles ne modifient pas une phrase déjà produite. Coinkite indique la version 4.2.0 ou ultérieure pour les Mk2 et Mk3. Pour les Mk4 et Mk5, elle recommande la version standard 5.6.0 ou la branche Edge 6.6.0X. Pour le Q, il faut la version standard 1.5.0Q ou la branche Edge 6.6.0QX. Une ancienne version Edge numérotée 6.x n’est pas nécessairement corrigée.
Après l’installation du micrologiciel officiel adapté au modèle, le détenteur doit créer une nouvelle phrase. Il doit vérifier sa sauvegarde et une adresse de réception. Un petit transfert test doit précéder le déplacement du solde. Importer l’ancienne phrase dans un autre portefeuille ne résout rien : le secret reste le même et demeure vulnérable. Coinkite recommande de conserver l’ancienne sauvegarde jusqu’à la confirmation complète de la migration.
Le même avis évoque le cas d’une phrase complétée par au moins 50 lancers indépendants d’un dé équitable. Ces lancers doivent avoir été effectués en privé, sans enregistrement ni divulgation des résultats. Dans ce cas, Coinkite ne la considère pas comme exposée à cette seule défaillance. Une phrase de passe BIP-39 forte et unique ajoute également une barrière, mais elle ne répare pas la phrase initiale. Le fabricant conseille donc aussi à ces utilisateurs de migrer. Le code PIN de l’appareil n’est pas une phrase de passe BIP-39.
Coinkite dit avoir suspendu ses expéditions après la confirmation de la faille. L’entreprise affirme avoir détruit les unités encore en stock avec un micrologiciel affecté. Elle dit aussi avoir contacté les clients dont les commandes étaient déjà parties. L’entreprise demande aux personnes touchées de conserver leur appareil. Celui-ci pourrait être utile en cas de récupération de fonds. Elle annonce aussi une coordination juridique avec les forces de l’ordre si nécessaire. À ce stade, elle n’a toutefois pas publié le nombre de clients concernés. Elle n’a pas davantage annoncé de mécanisme d’indemnisation ni l’ouverture d’une enquête formelle.
La conservation hors ligne n’élimine pas le risque logiciel
L’affaire Coldcard ne montre pas que tous les portefeuilles froids sont vulnérables. Elle rappelle qu’un dispositif hors ligne dépend d’une chaîne entière. Celle-ci comprend la qualité de l’aléa, l’intégration des bibliothèques, les paramètres de compilation et les tests de bout en bout. Elle englobe aussi la procédure d’alerte et la capacité à remplacer les secrets compromis. Si un seul de ces maillons échoue lors de la génération des clés, l’absence de connexion au réseau ne suffit plus.
La présence publique du code source n’offre pas, à elle seule, une garantie d’audit exhaustif. Le défaut était visible dans des composants publiés depuis plusieurs années, mais son effet résultait de leur interaction au moment de la compilation. Coinkite a promis un retour technique complet. Celui-ci devra notamment expliquer comment la régression a échappé aux contrôles depuis 2021. Il devra préciser la portée par modèle et documenter l’assistance apportée aux détenteurs. Tant que ce travail et le traçage des fonds ne sont pas achevés, le montant reste provisoire. Les plus de 110 millions de dollars constituent un ordre de grandeur daté, non un bilan final.