Piratage Coldcard : 130 Millions de Dollars Volés, Plus de 7 700 Portefeuilles Vidés — Analyse Complète

L'attaquant n'a eu besoin ni d'accès physique, ni d'e-mails de phishing, ni de logiciels malveillants. En rétro-ingénieriant la sortie d'entropie affaiblie, il a pu reconstruire à distance les phrases de récupération de 12 ou 24 mots des victimes et vider des portefeuilles qui n'avaient jamais été connectés à Internet .

Le PDG de Coldcard, Rodolfo Novak, a confirmé le problème le 30 juillet 2026 et a suggéré que la vulnérabilité avait peut-être été découverte à l'aide d'outils d'IA capables de scanner le firmware open-source à la recherche de faiblesses d'entropie à grande échelle .

Échelle et calendrier du vol

L'attaque s'est déroulée en plusieurs vagues coordonnées :

• 30 juillet — Première vague : En une rafale de 25 minutes commençant vers 21h56, heure de l'Est, l'attaquant a drainé environ 594 BTC (~38 M$) d'environ 500 portefeuilles, ciblant d'abord les soldes les plus importants . Chainalysis a constaté que 30 millions de dollars ont été volés dans les 10 premières minutes seulement .
• 31 juillet – 4 août — Deuxième et troisième vagues : Des vagues supplémentaires ont porté les pertes à 1 596 BTC (~100 M$+) sur environ 7 300 adresses .
• Quatrième vague suspectée : Galaxy Research a signalé une possible quatrième vague qui, si elle était confirmée, porterait le total à 2 055 BTC (~130 M$) .

Début août, TRM Labs a classé l'incident Coldcard comme le troisième plus grand piratage crypto de 2026 . Galaxy Research a identifié au moins 15 attaquants distincts qui se précipitent désormais pour exploiter les portefeuilles vulnérables non migrés .

Mouvement de fonds du 7 août : 30,185 BTC (1,94 M$)

Le 7 août 2026, un portefeuille lié au pirate Coldcard a transféré 30,185 BTC (~1,94 M$) vers une adresse nouvellement créée, selon le tracker on-chain Lookonchain . Il s'agissait du premier mouvement de fonds volés depuis le début des exploits.

• Le transfert représentait environ 1,5 % du butin total de 2 055 BTC .
• Les analystes l'ont interprété comme une transaction test potentielle ou une étape préliminaire vers un encaissement plus important .
• Le prix du Bitcoin a à peine réagi, se négociant autour de 64 152 $ à ce moment-là .

90 % des fonds volés restent immobiles

Après le transfert du 7 août, environ 98,5 % des ~2 055 BTC volés restent intacts dans les portefeuilles du pirate . Cette tendance est cohérente avec des attaquants sophistiqués qui attendent des mois, voire des années, avant de tenter de blanchir de grosses sommes. Les entreprises de forensic blockchain et les échanges surveillent de près ces adresses .

Réponse de Coinkite et mise à jour du firmware

Coinkite a réagi rapidement après avoir découvert la vulnérabilité le 30 juillet :

• 30 juillet — A publié un avis de sécurité urgent divulguant publiquement le bug .
• 31 juillet — A expédié un firmware d'urgence corrigé pour chaque modèle et canal de distribution affectés :

Avertissement critique : L'installation du firmware corrigé ne répare pas une seed déjà compromise. Coinkite a demandé à tous les utilisateurs concernés de générer une nouvelle seed sur un firmware corrigé et de déplacer immédiatement leurs pièces . L'entreprise a également détruit le stock restant fabriqué avec le firmware vulnérable et interrompu les expéditions .

Versions de firmware concernées

• Risque le plus élevé : Firmware Mk3 4.0.1 à 4.1.9, seeds générées sans au moins 50 lancers de dés indépendants ou une phrase de passe BIP-39 forte et unique
• Également concernés : Modèles Mk4, Mk5 et Q avant les versions de firmware corrigées listées ci-dessus
• Non concernés : Seeds générées avant la fenêtre de firmware vulnérable ; seeds utilisant 50+ lancers de dés ; seeds protégées par une phrase de passe BIP-39 unique ; appareils TAPSIGNER, OPENDIME et SATSCARD (codebases différents) ; et configurations multisig avec au moins une clé non vulnérable

Implications pour l'auto-conservation et la communauté crypto

• Les portefeuilles matériels ne sont pas infaillibles. L'incident Coldcard a brisé l'hypothèse selon laquelle les portefeuilles hors ligne sont à l'abri du vol de seed à distance . La faille est restée indétectée dans le firmware pendant plus de cinq ans.
• Les seeds générées sur un firmware vulnérable sont définitivement compromises. Même après l'installation du correctif, les anciennes seeds restent devinables . Les utilisateurs doivent créer des portefeuilles entièrement nouveaux et migrer leurs fonds.
• Crainte généralisée sur le marché. Glassnode a rapporté qu'environ 210 000 BTC ont été déplacés de portefeuilles de détenteurs à long terme (inactifs depuis plus de 155 jours) dans la semaine suivant le piratage — le plus grand mouvement de ce type depuis 2024 — suggérant une perte de confiance généralisée parmi les détenteurs de Bitcoin en auto-conservation .
• L'audit par IA s'accélère. Les chercheurs en sécurité ont noté que l'attaque a probablement été facilitée par des outils d'IA capables de scanner le firmware open-source à la recherche de faiblesses d'entropie à grande échelle, une capacité désormais rapidement adoptée par tous les projets de portefeuilles matériels .
• « J'ai tout fait correctement » ne suffit plus. De nombreuses victimes ont suivi les meilleures pratiques d'auto-conservation et ont quand même tout perdu, soulignant que l'intégrité du firmware est la nouvelle frontière du risque lié aux portefeuilles matériels .

• Mk3 : version 4.2.0 ou ultérieure
• Mk4/Mk5 standard : version 5.6.0 ou ultérieure
• Q standard : version 1.5.0Q ou ultérieure
• Mk4/Mk5 Edge : version 6.6.0X ou ultérieure
• Q Edge : version 6.6.0QX ou ultérieure