Piratage de Coldcard : les transferts de petits portefeuilles Bitcoin au plus haut depuis l'époque FTX

Les déplacements de bitcoins par les plus petits détenteurs ont atteint un rythme inédit depuis la chute de FTX, sur fond d'alerte de sécurité visant les portefeuilles matériels Coldcard. D'après CryptoQuant, les transferts inférieurs à 1 BTC ont totalisé 39 600 BTC vendredi, soit le plus haut niveau quotidien depuis novembre 2022. Julio Moreno, responsable de la recherche chez CryptoQuant, souligne que le précédent pic comparable s'élevait à 39 900 BTC le 16 novembre 2022, quelques jours après le dépôt de bilan (Chapter 11) de FTX intervenu le 11 novembre, selon les documents judiciaires. Le niveau observé cette semaine n'en est inférieur que de 300 BTC. Les données ne permettent pas d'identifier la destination de chaque transfert, un point clé car des dépôts vers des plateformes peuvent signaler une intention de vente, tandis que des mouvements entre portefeuilles s'apparentent davantage à une réaction défensive. Le calendrier coïncide avec les mises en garde adressées aux utilisateurs de Coldcard, ce qui renforce l'hypothèse d'une migration de portefeuilles. Galaxy Research dit avoir identifié trois vagues d'attaques présumées visant des adresses générées via Coldcard. Son analyse suit 1 367 BTC liés à 4 585 adresses concernées. La troisième vague aurait soustrait 207,7 BTC supplémentaires à partir de 1 912 adresses entre le 31 juillet et le 1er août. Aux prix en vigueur, Galaxy évalue les pertes à environ 88,6 millions de dollars, l'un des plus importants vols de portefeuilles Bitcoin rendus publics en 2026. Alex Thorn, directeur de la recherche chez Galaxy Digital, affirme que les investigations se poursuivent pour identifier les victimes et les adresses des attaquants, et appelle les utilisateurs exposés à déplacer leurs fonds depuis les "seeds" affectées. Lors du suivi initial, les BTC dérobés restaient concentrés sur des adresses contrôlées par les attaquants, sans signalement de dépôts massifs vers des plateformes. À l'origine, une faille de micrologiciel (firmware) : Coinkite a publié un avis de sécurité le 30 juillet après des signalements d'utilisateurs faisant état de fonds manquants. L'entreprise indique que certains firmwares généraient des seeds avec une entropie insuffisante. L'avis couvre les Mk2 et Mk3 en versions 4.0.1 à 4.1.9, ainsi que des versions antérieures "fixed-release" pour les appareils Mk4, Mk5 et Q. Selon Coinkite, les mises à jour évitent la création de nouvelles seeds à risque, mais ne peuvent pas réparer celles déjà générées sous les versions concernées. L'équipe Bitcoin Engineering and Security de Block attribue le problème à une erreur d'intégration d'un générateur de nombres aléatoires : le code aurait utilisé un recours logiciel déterministe au lieu de l'entropie matérielle attendue. Block ajoute que des appareils plus récents ont introduit l'entropie d'un "secure element", mais n'en conservaient que 32 bits lors du réensemencement, réduisant l'espace de recherche possible par rapport aux attentes des utilisateurs. Coinkite dit avoir publié des firmwares corrigés pour tous les modèles et branches de versions touchés, et recommande de générer de nouvelles seeds après installation. L'entreprise note aussi que l'usage de passphrases robustes conformes à Bitcoin Improvement Proposal 39 peut réduire l'exposition immédiate, tout en conseillant une migration, les passphrases ne corrigeant pas des seeds affaiblies. Cet épisode ravive le débat entre auto-conservation (self-custody) et détention via fonds cotés. Nick Neuman, PDG de Casa, conteste l'idée d'un échec de l'auto-conservation et estime que la propriété distribuée laisse du temps aux utilisateurs pour réagir. Il avance que l'auto-conservation protégerait environ dix fois plus de bitcoins que les attaquants n'en ont volé, tout en précisant que l'ampleur totale des soldes exposés reste inconnue. À l'inverse, Eric Balchunas, analyste des ETF chez Bloomberg, met en avant les garde-fous et la simplicité d'accès des fonds Bitcoin pour une partie des investisseurs : les actionnaires détiennent alors des titres réglementés, quand l'auto-conservation implique le contrôle direct des clés privées et de l'autorisation des transactions. Le problème touche le processus de génération de seeds d'un fournisseur, pas le réseau de règlement Bitcoin. Il rappelle que la sécurité d'un portefeuille matériel dépend du firmware, de l'entropie et des pratiques de migration. Sur le marché, la réaction des prix est restée limitée : le bitcoin s'échangeait autour de 63 124 $ dimanche, tandis que les mouvements de portefeuilles s'accéléraient. Coinkite indique que l'enquête est toujours en cours et promet une revue technique formelle ; ce rapport, ainsi que le suivi de Galaxy, constituent les prochains jalons factuels attendus.