Exploit Coldcard : 1 719 BTC confirmés volés, le préjudice pourrait dépasser 130 M$

L'ampleur de l'exploit visant le portefeuille matériel Coldcard se précise. Galaxy Research indique, avec un haut niveau de confiance, qu'au moins 1 719 BTC auraient été dérobés sur plusieurs comptes d'utilisateurs, soit environ 111 M$ aux cours récents. Le total pourrait être plus élevé : selon la dernière estimation de l'équipe, citée dans le rapport d'origine, les pertes devraient dépasser 130 M$ une fois l'ensemble des cas en attente confirmés. Les enquêteurs ont identifié plus de 25 schémas d'attaque distincts et estiment que plusieurs acteurs malveillants exploitent activement la faille. Galaxy dit avoir reçu des signalements de plus de 250 personnes. Si tous les dossiers sont validés, le butin pourrait dépasser 2 300 BTC. À ce stade, seuls les modèles Coldcard Mk3, Mk4, Mk5 et le modèle Q sont connus pour être affectés. Aucun élément ne suggère une propagation à d'autres appareils de signature ou portefeuilles. Galaxy n'a pas non plus indiqué de compromission de logiciels ou firmwares en dehors de l'écosystème Coldcard. Un coup porté au récit de l'autodétention L'incident frappe au cœur de la culture de l'autodétention. Coldcard est souvent présenté comme l'un des portefeuilles matériels Bitcoin les plus sûrs, conçu pour un stockage "air-gapped" et de niveau "paranoïaque". Le fait qu'il ait été compromis à cette échelle, sur une période d'exploitation qui semble longue, risque d'ébranler la confiance des utilisateurs ayant placé l'essentiel de leur patrimoine sur ce dispositif. Le contexte politique ajoute à la pression. À quelques jours d'un vote décisif au Sénat américain sur un texte majeur sur les cryptomonnaies — évoqué dans notre couverture sur la manière dont les banques tentent de remodeler le projet de loi — un exploit de cette ampleur fournit un nouvel argument aux opposants à des règles d'autodétention plus permissives. Les portefeuilles matériels sont souvent vendus comme l'ultime rempart contre les piratages, tout en restant exposés à des attaques sur la chaîne d'approvisionnement, à des altérations du firmware et à des exploits physiques par canaux auxiliaires. Dans ce dossier, ni Coinkite ni Galaxy n'ont détaillé publiquement le vecteur d'entrée. La diversité des schémas observés suggère qu'il ne s'agit pas d'un unique bug. Un générateur de nombres aléatoires mal configuré, un composant compromis dans la supply chain ou une faiblesse dans les protocoles de communication de l'appareil figurent parmi les hypothèses. Pour les victimes, l'addition est d'autant plus amère que l'immutabilité de Bitcoin rend la récupération des fonds pratiquement impossible. Quelles suites pour les victimes et pour le marché Avec plus de 250 victimes déjà identifiées, les risques juridiques et réputationnels s'accroissent pour Coinkite, fabricant de Coldcard. L'entreprise n'a pas encore publié de post-mortem technique détaillé. Le marché attend de savoir si un correctif est envisageable pour le matériel existant ou si des remplacements seront nécessaires. Pour l'instant, seule la gamme Coldcard semble concernée. La présence de plusieurs attaquants indépendants renforce l'idée que la faille circulait peut-être déjà dans certains cercles avant sa divulgation, avec la possibilité d'une découverte puis d'un échange privé de l'exploit, avant que l'affaire ne devienne publique à mesure que les pertes s'accumulaient. Côté institutionnels, l'événement devrait intensifier l'audit des choix d'équipements. Les configurations multisig et les solutions de stockage à froid chez des dépositaires pourraient regagner en attractivité. La question de l'assurance revient aussi sur le devant de la scène : la plupart des utilisateurs en autodétention n'ont aucune couverture, tandis que les dépositaires régulés intègrent généralement une assurance dans leur offre. Un préjudice de plus de 130 M$, modeste au regard de la capitalisation totale du Bitcoin, reste suffisant pour attirer l'attention des régulateurs à un moment où les législateurs débattent du cadre de classification et de supervision des fournisseurs de portefeuilles. De nombreuses zones d'ombre Plusieurs questions demeurent. Le rapport de Galaxy ne précise pas comment les attaquants auraient pu exfiltrer des clés privées ou signer des transactions sans accès physique aux appareils. Une hypothèse est qu'une vulnérabilité permette à un acteur ayant eu un accès temporaire — pendant l'expédition ou via un revendeur compromis — de vider les fonds plus tard, sans accès continu. L'existence de plus de 25 schémas d'attaque indique le recours à plusieurs techniques. Il n'est pas exclu que certaines victimes aient installé, sans le savoir, des mises à jour de firmware malveillantes depuis des sources non officielles. La communauté s'interroge désormais sur la capacité de la marque Coldcard à restaurer sa crédibilité. La sécurité des portefeuilles matériels repose autant sur la confiance que sur la cryptographie. Quand cette confiance est brisée à l'échelle de milliers de bitcoins, la reconstruction s'annonce longue. D'autres fabricants devraient s'appuyer sur cet épisode pour promouvoir leurs propres appareils, tandis que la leçon pour l'industrie s'impose : l'autodétention exige une vigilance permanente et aucun dispositif ne doit être considéré comme un bouclier infaillible.