Coldcard a perdu 130 millions de dollars. Le Bitcoin n’a pas flanché.

À l’intention des investisseurs,

Un bug de firmware datant de cinq ans a permis aux attaquants de décharger jusqu’à2,055 Bitcoins – près de 130 millions de dollarsDes milliers de portefeuilles de stockage froid.

Les reportages sensationnels le qualifient de « poussée de phishing ».

Ce n’est pas le cas. Et cette distinction change tout ce que vous devriez apprendre de cela.

Voici les données. Galaxy Research, l’entreprise spécialisée dans l’analyse des données blockchain qui suit les exploitations informatiques, a identifié trois vagues confirmées et une quatrième soupçonnée. Au total,1,596 BTC a été confirmé volé depuis environ 7,300 adresses.Si la quatrième vague est confirmée, le total des ballons d’air comprimé atteindra environ 2 055 BTC et 130 millions de dollars aux prix actuels. La première vague seule – valant 594 BTC, soit environ 38 millions de dollars – a été absorbée en 25 minutes.

Le Bitcoin lui-même ? Il est en cours de négociation à 63 820 dollars. Il a augmenté de 0,59 % aujourd’hui. La valeur de marché s’élève à 1,28 trillion de dollars.

Le prix ne s’en souciait pas.

Ce n’est pas un e-mail phishing.

Le phishing se produit lorsque un escroc vous envoie un e-mail falsifié, se fait passer pour le service d’assistance, ou vous pousse à divulguer votre phrase de sécurité. C’est une attaque de type social engineering. L’attaquant a besoin que vous coopériez avec lui.

Ce n’est pas ce qui s’est passé avec Coldcard.

Ces attaques sont causées par une erreur déterministe dans le fonctionnement du firmware de Coldcard : il génère des mots aléatoires de 12 ou 24 caractères qui servent de clé principale pour tous les adresses Bitcoin que votre portefeuille crée. En mars 2021…Un problème d’intégration de firmware a fait que les dispositifs Coldcard utilisaient un générateur de nombres aléatoires pseudo-software faible, au lieu du générateur de nombres aléatoires de haute qualité intégré dans le chip..

L’équipe de développement et de sécurité de Block’s Bitcoin a causé cette faille dans une recommandation publiée le 30 juillet. L’explication technique est simple et claire. Coinkite, l’entreprise canadienne qui produit Coldcard, a demandé à son système de construction de ne pas utiliser le générateur aléatoire matériel de MicroPython, car celui-ci fournissait son propre générateur aléatoire. Une bibliothèque nommée libngu vérifiait alors si la macro existait – mais pas si elle était à zéro. Ainsi, la construction se passa bien. Le firmware a été livré. Pendant cinq ans, certains appareils Coldcard ont généré des “seeds” à partir de patterns prévisibles, plutôt que d’une vraie aléatoire.

La conséquence est brutale en termes de mécanisme. Les appareils Coldcard Mk2 et Mk3 qui utilisent un firmware vulnérable pourraient ne disposer que de…40 bits d’entropie effective dans la génération de leurs graines.Cela représente environ 1 sur 1 trillion de séquences possibles. Une séquence BIP-39 de 12 mots, générée correctement, contient 128 bits – soit environ 1 sur 340 undecillion. L’attaquant n’a pas eu besoin d’hacker Coldcard ou de tromper qui que ce soit. Il pouvait simplement exécuter un programme sur son propre ordinateur, compter les séquences possibles, vérifier quels adresses contiennent des Bitcoins sur la chaîne, et les récupérer.

Les modèles Mk4, Mk5 et Q se sont mieux comportés, avec environ 72 bits d’entropie. Cependant, l’analyse de Block montre que même ces dispositifs sont limités à au maximum…2^32 flux de sortie distincts et sécurisésUn attaquant peut utiliser la méthode brute-force pour exploiter ces données hors ligne.

L’attaquant n’a jamais touché aucun appareil. Il n’a jamais envoyé d’e-mails. Il n’a jamais parlé à aucun utilisateur. Le portefeuille était mathématiquement défectueux, et le blockchain lui-même servait de “oracle” qui indiquait à l’attaquant quelles suppositions étaient correctes.

La réponse du marché est l’histoire vraie.

130 millions de dollars volés en moins de cinq jours devraient être considérés comme une affaire importante. L’indice de peur et de cupidité liées aux cryptomonnaies se situe à 25 – c’est presque dans la zone de « peur extrême ». Les tweets sur Twitter concernant les cryptomonnaies sont remplis de personnes qui qualifient les portefeuilles matériels de « pur gaspi ».

Et pourtant, le prix de Bitcoin n’a presque pas bougé. Il est descendu de moins de 1 % depuis l’apparition de la première vague le 30 juillet.

Pourquoi ?

Parce que le protocole Bitcoin est solide. Le blockchain est également solide. L’attaquant ne pouvait pas modifier les données du registre, fabriquer des pièces de monnaie falsifiées ou violer les règles de consensus. Il a simplement découvert un bug dans le logiciel du fournisseur concerné, et l’a exploité de manière méthodique.

Le réseau Bitcoin n’a pas été endommagé. C’est un outil périphérique qui a causé le problème. C’est la différence entre une vulnérabilité du système et une vulnérabilité liée à une carte de paiement. Le marché comprend bien cette distinction.

C’est une violation narrative. Le titre de l’article annonce clairement que « le stockage froid n’est pas sûr ». Les données indiquent quelque chose de plus précis : le firmware d’un fournisseur avait des défauts de fiabilité pendant cinq ans. L’écosystème Bitcoin a alors réagi en identifiant ces défauts, en décrivant la cause racine, et en suivant l’attaquant sur la chaîne de blocs.

Selon Galaxy Research, environ 90 % des bitcoins volés restent intacts. Ces bitcoins se trouvent dans les portefeuilles des attaquants, et sont visibles sur la chaîne de blocs. Ils attendent d’être récupérés par les enquêteurs, qui ont déjà partagé les adresses confirmées avec les forces de l’ordre fédérales américaines, les plateformes d’échange et les entreprises de cybersécurité.

La transparence de la réponse est l’argument en faveur de Bitcoin. Dans tout autre système financier, 130 millions de dollars disparaissent dans des comptes opaques, sans aucune trace. En revanche, avec Bitcoin, chaque satoshi volé se trouve dans un adresse publique que les enquêteurs peuvent suivre.

La situation globale empire avant de s’améliorer.

Cet incident ne représente qu’un seul point de données dans un paysage de sécurité plus large, qui s’est effectivement amélioré sur le long terme. En 2026, il y a eu 207 incidents de sécurité liés aux cryptomonnaies – le nombre le plus élevé jamais enregistré au cours d’une période de six mois, selon TRM Labs. Cependant, les pertes totales ont atteint environ 972 millions de dollars, soit moins de la moitié des 2,3 milliards de dollars volés au cours du premier semestre 2025.

De plus en plus d’attaques sont détectées. Celles qui réussissent coûtent en moyenne moins cher. La sécurité des réseaux de blockchain est améliorée, même si les attaquants deviennent de plus en plus créatifs.

Cependant, l’industrie a créé une nouvelle zone d’ombre. Les attaques physiques contre les détenteurs de cryptomonnaies – ce que la communauté appelle des « attaques par force » – ont atteint un niveau élevé.124 millions d’euros au premier semestre 2026Un rythme record qui menace de doubler les pertes annuelles de 2025, selon le rapport Wrench Attacks de CertiK. L’adoption des portefeuilles matériels, sans des mesures de sécurité physique et opérationnelle appropriées, peut augmenter les risques pour les consommateurs ordinaires.

L’attaque Coldcard et l’attaque à l’utilisation du outil de récupération de clés de sécurité indiquent la même leçon : acheter un portefeuille hardware ne vous rend pas plus sécurisé. Cela signifie que vous devez assumer la responsabilité de votre propre sécurité. Et la responsabilité est un bien rare dans un monde rempli d’outils qui promettent cela.

Ce que vous faites vraiment

Coinkite a envoyé le firmware d’urgence pour tous les modèles affectés. Mais l’installation de cette mise à jour ne permet pas de réparer un seed existant. Cette faiblesse est intégrée dans la phrase de récupération elle-même. L’entreprise encourage les utilisateurs qui ont généré un seed avec le firmware vulnérable à créer un nouveau seed avec le firmware corrigé, afin de transférer leurs fonds.

Rodolfo Novak, le PDG de Coinkite, a présenté des excuses publiques, qualifiant les trois derniers jours de « les plus difficiles de l’histoire de cette entreprise ». Il a également assuré qu’il était « entièrement responsable du bug dans le logiciel ».

Cette responsabilité est importante. Toutes les entreprises n’auraient pas réagi de cette manière. La solution est claire : trouver de nouvelles pièces de récupération, créer un nouveau portefeuille, et transférer vos fonds là-bas. Si les pièces de récupération de votre Coldcard ont été générées avec un firmware vulnérable, faites-le maintenant.

Le point principal

Les titres des articles de presse indiquent « augmentation des attaques de type phishing ». Les données indiquent qu’il s’agit d’un problème de logiciel mal conçu. L’analyse suggère que le système de stockage froid est défectueux. Les données montrent qu’un fournisseur a livré une version défectueuse du logiciel pendant cinq ans, et l’écosystème a été affecté par cela.

Bitcoin n’a pas été affecté, car le protocole n’est pas la vulnérabilité en question. C’est le protocole qui permet aux investigateurs de voir que 90 % des cryptomonnaies volées se trouvent à portée de main sur la chaîne de blocs, prêtes à être retrouvées.

L’industrie des cryptomonnaies ne meurt pas. Elle se développe plutôt. Or, le développement signifie que les attaques deviennent de plus en plus sophistiquées, que les réponses sont plus rapides, et ceux qui considèrent les portefeuilles hardware comme des outils magiques, plutôt que comme des produits technologiques, perdent de l’argent.

La prochaine vague de sécurité ne concerne pas les portefeuilles plus gros. C’est plutôt une meilleure discipline opérationnelle. C’est cet atout précieux qui fait la différence. C’est là que réside l’avantage.

Le réseau de Bitcoin est toujours plus transparent, plus traceable et plus résilient. Le reste de l’industrie se met à suivre le rythme.

Les meilleurs investisseurs ne paniquent pas face aux titres de presse. Ils comprennent la cause profonde des problèmes.