Coldcard n’a pas brisé le Bitcoin – il a plutôt détruit l’illusion de la confiance.

Aux investisseurs,

L’annonce principale parle de « vol du Bitcoin ». Les données indiquent quelque chose d’autre.

Le 31 juillet, un attaquant a attaqué.594 BTC – environ 38 millions de dollars – provenant d’environ 500 portefeuilles matériels Coldcard, en 25 minutes.C’était la première vague. Au moment où August a commencé, Galaxy Research avait cartographié trois autres vagues, pour un total d’environ 1 367 BTC.Environ 89 millions de dollars, sur 4 585 adresses..

Le coupable n’était pas un parasite de la réseau Bitcoin. Ce n’était pas non plus une violation du blockchain. C’était…Erreur de configuration de compilation à une seule ligne dans le firmware de Coldcard, datant de mars 2021.Cette génération de graines est effectuée via un générateur de nombres aléatoires pseudo-réels, qui est moins fiable que le générateur de nombres aléatoires embarqué utilisé par l’appareil. Le résultat : les graines de clés de sécurité semblaient contenir 128 bits d’entropie cryptographique, mais en réalité, sur le modèle Mk3, elles contenaient environ 40 bits, et sur les modèles ultérieurs, environ 72 bits. Un trillion de combinaisons possibles est à la portée d’un attaquant ayant des ressources modestes. Mais l’univers observable ne contient pas autant d’atomes.

Le prix du Bitcoin est de 63 450 dollars aujourd’hui, soit une hausse de 1 %. Sur cinq jours, il a diminué de 0,65 %. L’indice Fear and Greed se situe à 27 – c’est un niveau très préoccupant. La capitalisation boursière du Bitcoin est de 1,27 billions de dollars.

En mettant tout cela ensemble, la situation devient plus claire. La quantité volée – 89 millions de dollars – représente moins de 0,007 % du valeur totale du marché du Bitcoin. C’est une somme énorme pour les utilisateurs qui ont perdu leur argent. Pour le réseau, il s’agit simplement d’une erreur de arrondi. Le prix n’a pas chuté ; il est resté stable.

L’angle de concurrence qualifie cette consolidation de positif. Je voudrais aller plus loin… C’est une violation de la narration.

Tout le monde qui suivait les nouvelles considérait Coldcard comme un problème lié au Bitcoin. En réalité, ce n’est pas le cas. La cryptographie utilisée par le Bitcoin fonctionne correctement. Le modèle UTXO est également en place. Le blockchain traite les transactions de manière transparente – n’importe qui peut observer ce processus. Le problème vient d’une étiquette propriétaire que Coinkite a mis à zéro ; une bibliothèque tiers peut interpréter cela comme une activation activée. C’est un bug de firmware, et non une faille dans le protocole.

Cette distinction est importante, car elle vous indique où se situe le risque réel. Le code du Bitcoin est ouvert, vérifié par des milliers d’ingénieurs, et a été testé pendant quinze ans. Le point faible, c’est toujours la couche qui se trouve entre le Bitcoin et la personne qui le détient : l’appareil, le firmware, le point unique de conservation.

Il y a ensuite ce détail que la plupart des analyses ignorent. Coinkite estime que l’attaquant a utilisé de l’IA pour découvrir cette vulnérabilité. Une vérification effectuée par Coinkite avec son propre système d’IA sur ce même code, quelques semaines plus tôt, n’a rien révélé.

C’est là le paradoxe entre abondance et rareté en action. L’IA crée une abondance d’intelligence – suffisante pour analyser le firmware open source, identifier un mécanisme de protection qui vérifie seulement l’existence des éléments, sans tenir compte de leur valeur, et effectuer une attaque de type brute-force sur un espace de recherche de 40 bits. Les mêmes outils d’IA qui révolutionnent la médecine, le codage et la création de contenu découvrent désormais systématiquement des failles de sécurité que les auditeurs humains ne remarquent pas. L’IA de Coinkite n’a pas pu le faire. C’est l’IA de l’attaquant qui l’a découvert.

Quel est l’impact de cela sur le cas d’investissement ?

Cela signifie que la pression sur la garde de dispositifs et signatures uniques va augmenter, et non diminuer. Les attaques assistées par l’IA ne sont pas des événements isolés. Ce sont une nouvelle norme. L’attaquant n’a pas besoin de phishing, de logiciels malveillants, d’accès physique ou de techniques de séduction sociale. Il lui faut simplement le firmware open source, un espace de données déterministes, et des ressources de calcul.

Le cadre qui s’applique ici n’est pas une identification de tendances asymétriques – bien que les implications pour les infrastructures de dépôt à plusieurs signatures et les systèmes d’entreprise soient dans cette direction. Le cadre est plutôt lié à des problèmes liés aux configurations logicielles. L’opinion générale est que les portefeuilles matériels constituent un stockage sécurisé. Les données montrent que les portefeuilles matériels ayant des configurations fermées, des mécanismes de génération aléatoire propriétaires et des configurations de signature unique constituent des cibles faciles pour les attaques automatiques.

Coinkite a envoyé le firmware d’urgence le 31 juillet. L’installation de ce firmware ne permet pas de réparer un portefeuille existant. Les utilisateurs doivent donc générer un nouveau portefeuille et transférer leurs fonds. L’entreprise a conseillé de ne pas se précipiter : les migrations de portefeuilles effectuées dans la panique entraînent des problèmes supplémentaires. C’est une bonne recommandation. Mais la leçon principale est que aucun appareil seul ne devrait être le seul moyen de gérer des sommes importantes.

Le contexte du marché en général explique pourquoi cela n’a pas provoqué une crise. Le prix de Bitcoin était de 58 190 dollars en juillet – un niveau bas depuis 21 mois – après des sorties nettes de 4,5 milliards de dollars des ETF de Bitcoin sur le marché américain en juin. La reprise au cours du mois de juillet s’est faite grâce à une réduction de la levier utilisé, des données d’inflation plus faibles, et des niveaux de liquidation plus bas.Les entrées d’argent provenant des ETF de juillet se sont élevées à 205 millions de dollars – ce qui représente le montant mensuel le plus faible depuis la mise en place de ces produits en janvier 2024.Le carburant vendu de force avait déjà été utilisé.

Les flux sur la chaîne blockchain actuels montrent un flux de capital net de – 47 millions de dollars. Les entrées et sorties de capitaux sont à peu près équilibrées : respectivement 241 millions de dollars et 288 millions de dollars. Il n’y a pas de capitulation. Il n’y a pas non plus de panique. Il y a plutôt une consolidation autour du niveau de 63 000 dollars.

La Fed ajoute de la complexité à la partie arrière.Trois présidents régionaux de la Fed ont voté pour une hausse immédiate des taux d’intérêt lors de la réunion du 29 juillet – c’est la plus radicale depuis 2016. Les chances d’une hausse des taux en septembre sont supérieures à 57 %. Le rendement des obligations du Trésor à 30 ans a bondi à 5,21 %, son niveau le plus élevé depuis 2007.C’est un obstacle, pas l’incident de Coldcard.

Et pour ce cas difficile ? Voici comment il s’est présenté, de manière assez claire.

Les gens disent que Coldcard prouve que la gestion des cryptos est instable, que l’intelligence artificielle rendra de tels attaques courantes, et que la perte de 89 millions de dollars n’est qu’une partie d’un iceberg beaucoup plus grand de comptes vulnérables qui existent encore. Les préoccupations sont justifiées. Coinkite ne sait pas combien de “seeds” ont été générés avec le firmware affecté, et tous les utilisateurs ne vont pas migrer. Plus de comptes pourraient être touchés.

Mais ce n’est pas une faille liée au Bitcoin. C’est plutôt une faille liée au fournisseur de services. Le fournisseur était transparent : il a publié rapidement un correctif et a détaillé les causes du problème. La surface d’attaque est connue et pouvant être corrigée. La méthode utilisée par l’attaquant – c’est-à-dire l’utilisation de techniques de brute force pour exploiter des entropies faibles – ne peut pas être utilisée pour générer des mots de passe valides. Block, Ledger et Trezor ont confirmé que leurs produits ne sont pas affectés.

L’eau froide signifie que la concentration des clés de paiement dans un seul appareil représente en soi un risque. La solution est de ne pas abandonner le principe de garde personnelle des clés. Il s’agit plutôt de les distribuer. Des configurations à plusieurs signatures, des clés séparées géographiquement, et des solutions de garde de haut niveau qui ne dépendent pas de la configuration d’un seul appareil.

La théorie de la rareté du Bitcoin ne concernait jamais le prix. Il s’agissait plutôt du protocole : 21 millions de pièces, sans aucun émetteur central, sans règles changeables. Cette rareté reste intacte. Ce qui est en pression, c’est l’idée que un appareil coûtant 200 dollars puisse contenir des millions de pièces en toute sécurité. L’intelligence artificielle a prouvé le contraire.

La consolidation n’est pas un prélude à une rupture ou à une panne. C’est la manière dont le marché gère un incident réel pour les utilisateurs affectés, qui est maîtrisé pour la réseau, et qui fournit des informations utiles pour tout le reste.

L’évolution des prix du Bitcoin montre que le marché est d’accord. +1 % aujourd’hui. Stabilité sur cinq jours. Peur à 27. Aucun mouvement de cours.

Les meilleurs investisseurs savent faire la différence entre une panne de réseau et une panne de dépôt de titres. C’était bien une panne de dépôt de titres. Le réseau fonctionnait correctement.

Le Bitcoin reste l’actif numérique le plus rare sur Terre. Les portefeuilles qui le contiennent sont désormais plus intelligents pour comprendre ce que cela signifie.