L'exploit visant Coldcard dépasse les 100 M$ : 1 596 BTC dérobés

Ce qui ressemblait au départ à une faille majeure touchant un portefeuille matériel s'est transformé en une enquête forensique d'ampleur, au fur et à mesure que de nouveaux éléments en redéfinissent le périmètre. Les premières analyses liaient l'exploit de Coldcard à 4 585 adresses, réparties en trois vagues, avec environ 1 367 Bitcoin (BTC) dérobés, soit près de 88,6 M$. Par la suite, les enquêteurs ont identifié 1 912 adresses supplémentaires, ajoutant 207,73 BTC aux pertes, tout en observant que l'ensemble des fonds volés restait intact. (Source : Galaxy Research) Ce comportement a renforcé l'idée que l'attaquant cherchait d'abord à consolider les fonds, plutôt qu'à les liquider rapidement. Depuis, l'enquête a encore gagné en envergure : les pertes confirmées dépassent désormais 1 596 BTC, soit plus de 100 M$, répartis sur environ 7 300 adresses. Galaxy Research a également recensé 14 incidents connexes de plus petite taille, portant les pertes suspectées à près de 2 000 BTC, soit environ 130 M$. Cet exploit s'impose comme l'un des incidents les plus graves liés à la sécurité de la conservation de Bitcoin, et relance les questions sur la robustesse des portefeuilles matériels. Les données on-chain confortent l'enquête L'élargissement du dossier s'appuie sur la forensique blockchain, qui détaille la manière dont les BTC volés ont été gérés après les attaques. Les trois vagues de vols confirmées restent le socle de l'analyse, tandis qu'une quatrième vague, encore suspectée, pourrait porter le total à 2 055 BTC (environ 130 M$) si les victimes confirment leur inclusion. Au-delà du volume, les mouvements de fonds suivent un schéma remarquablement stable. (Source : Galaxy Research) Environ 90 % des BTC dérobés n'ont pas bougé. Les fonds transférés lors des vagues 1, 2 et 3 demeurent dans leurs adresses de réception. Cette inactivité renforce la capacité des enquêteurs à cartographier les portefeuilles sous contrôle de l'attaquant et à découvrir des adresses liées. En parallèle, de nouveaux épisodes de vols de moindre ampleur suggèrent que des acteurs opportunistes ont pu exploiter des conditions similaires après la compromission initiale. Avec l'amélioration de l'attribution on-chain, les enquêteurs transmettent des adresses vérifiées aux forces de l'ordre, aux plateformes d'échange et aux acteurs de la conformité, augmentant les chances de suivi des mouvements futurs tout en réduisant les possibilités d'encaissement. Un coup dur pour la confiance dans l'autoconservation Au-delà de la dimension technique, l'incident met à l'épreuve l'une des hypothèses les plus ancrées de l'écosystème Bitcoin : la sécurité de l'autoconservation. L'affaire n'indique pas une faille inhérente au principe de self-custody, mais souligne l'importance de portefeuilles bien conçus et de générateurs d'entropie indépendants. Elle renforce aussi les bonnes pratiques de protection des utilisateurs, comme l'usage du multisig et des méthodes de sauvegarde améliorées. En réaction, Coinkite a publié un firmware d'urgence, suspendu les expéditions et recommandé aux utilisateurs de générer de nouvelles seeds avant tout transfert de fonds. Les mises à jour logicielles ne peuvent toutefois pas corriger des seeds faibles déjà produites. Le retour durable de la confiance dépendra de revues de sécurité transparentes, d'une génération d'aléa vérifiable et de standards sectoriels plus clairs. L'exploit pourrait ainsi faire évoluer les pratiques de sécurisation du Bitcoin, plutôt que de remettre en cause l'autoconservation elle-même. Synthèse L'exploit visant Coldcard dépasse désormais 100 M$, avec 1 596 BTC volés, ce qui en fait l'un des incidents de sécurité les plus marquants touchant un hardware wallet. L'affaire accélère l'adoption de pratiques renforcées pour la self-custody et la protection des portefeuilles.