Cause de la vulnérabilité : un flag de compilation qui a brisé l'aléatoire

La cause racine était une erreur d'intégration firmware introduite dans une mise à jour Coldcard de mars 2021. Les versions affectées — en particulier les Coldcard Mk2 et Mk3 avec firmware 4.0.0 à 5.0.3 — contournaient le générateur de nombres aléatoires matériel dédié (RNG) lors de la création de la seed du wallet . Au lieu des 128 bits d'entropie prévus, le firmware redirigeait la génération de seed vers un générateur pseudo-aléatoire logiciel qui produisait des seeds avec seulement 40 bits d'entropie, réduisant l'espace possible des seeds à environ 4 milliards de valeurs .

Cela rendait les seeds prévisibles à distance et vulnérables au brute-force à partir de données publiques comme les numéros de série et les horloges des appareils, sans nécessiter d'accès physique au wallet . Les utilisateurs qui avaient généré leur seed manuellement avec des dés (en contournant la seed générée par l'appareil) n'ont pas été affectés .

Chronologie de l'attaque : quatre vagues en cinq jours

• Mars 2021 — Le code firmware défectueux est introduit dans une mise à jour Coldcard.
• 30 juillet 2026, 01h10–01h51 UTC — Première grande vague : 1 082,65 BTC (environ 70 millions de dollars à l'époque) sont vidés de 1 196 adresses en seulement 41 minutes . L'attaque a commencé près de 30 heures avant que Coinkite n'émette un avertissement public .
• 30 juillet 2026, soir (ET) — Une deuxième vague de 25 minutes draine environ 594 BTC (environ 38 millions de dollars) d'environ 500 wallets .
• Fin juillet au 3 août 2026 — Au moins deux autres vagues coordonnées se déroulent, Galaxy Research en suivant trois confirmées et 14 incidents plus petits .
• 31 juillet 2026 — Coinkite publie des correctifs firmware d'urgence pour tous les modèles et versions concernés .
• 1er au 4 août 2026 — Les avertissements publics s'intensifient alors que l'attaquant continue de vider les wallets. Galaxy Research réévalue ses estimations de pertes à la hausse à plusieurs reprises .
• 7 au 12 août 2026 — Les données on-chain de répercussion émergent, montrant une migration massive des détenteurs et une création record de wallets .

Montant total volé

Les estimations ont varié au fil de l'incident, mais le chiffre le plus complet provient de TRM Labs et Galaxy Research : environ 1 816 BTC (~116 millions de dollars) volés sur plus de 5 200 adresses en quatre vagues d'attaque . Des rapports précédents citaient des totaux plus faibles (1 367 BTC depuis 4 585 adresses, soit environ 89 millions de dollars) car l'enquête était encore incomplète . Certaines sources estimaient que les pertes totales pourraient finalement atteindre 2 055 BTC (environ 130 millions de dollars) si une quatrième vague suspectée était entièrement vérifiée .

La migration de 15 milliards de dollars : 233 000 BTC quittent les wallets long terme

Dans les jours suivant la brèche, les sociétés d'analyse on-chain ont enregistré une fuite massive vers la sécurité :

• Les données de Checkonchain montrent que 233 000 BTC ont quitté les wallets des détenteurs long terme, pour une valeur d'environ 15 milliards de dollars .
• Glassnode a rapporté qu'environ 210 000 BTC (~13,69 milliards de dollars) ont quitté des wallets inactifs depuis plus de 155 jours — la plus forte baisse hebdomadaire de Bitcoin détenu à long terme depuis décembre 2024 .

Cette migration reflète à la fois les utilisateurs de Coldcard déplaçant leurs fonds vers de nouveaux wallets et une panique plus large, alors que les détenteurs long terme — y compris les utilisateurs de Ledger et Trezor, selon Nick Neuman, PDG de Casa — ont déplacé leurs coins vers d'autres modes de conservation .

Création record de wallets : 2,27 millions de nouveaux wallets en une semaine

Au cours de la semaine se terminant vers le 8 août 2026, Bitcoin a établi un record annuel d'activité on-chain :

• 2,27 millions de nouveaux wallets ont été créés.
• 751 000 wallets actifs ont été enregistrés.

Ce pic a été directement provoqué par les détenteurs se précipitant pour retirer leurs fonds des appareils Coldcard et générer des wallets entièrement nouveaux sur du matériel différent .

Le débat sur l'auto-conservation

L'exploit a déclenché un débat intense sur les hypothèses de sécurité des wallets hardware et de l'auto-conservation :

• Nick Neuman, PDG de Casa, a rapporté que certains clients, citant la brèche Coldcard, remettaient en question l'auto-conservation et se tournaient vers des dépositaires qualifiés .
• Les experts en sécurité ont noté que

Cause de la vulnérabilité : un flag de compilation qui a brisé l'aléatoire

La cause racine était une erreur d'intégration firmware introduite dans une mise à jour Coldcard de mars 2021. Les versions affectées — en particulier les Coldcard Mk2 et Mk3 avec firmware 4.0.0 à 5.0.3 — contournaient le générateur de nombres aléatoires matériel dédié (RNG) lors de la création de la seed du wallet . Au lieu des 128 bits d'entropie prévus, le firmware redirigeait la génération de seed vers un générateur pseudo-aléatoire logiciel qui produisait des seeds avec seulement 40 bits d'entropie, réduisant l'espace possible des seeds à environ 4 milliards de valeurs .

Cela rendait les seeds prévisibles à distance et vulnérables au brute-force à partir de données publiques comme les numéros de série et les horloges des appareils, sans nécessiter d'accès physique au wallet . Les utilisateurs qui avaient généré leur seed manuellement avec des dés (en contournant la seed générée par l'appareil) n'ont pas été affectés .

Chronologie de l'attaque : quatre vagues en cinq jours

• Mars 2021 — Le code firmware défectueux est introduit dans une mise à jour Coldcard.
• 30 juillet 2026, 01h10–01h51 UTC — Première grande vague : 1 082,65 BTC (environ 70 millions de dollars à l'époque) sont vidés de 1 196 adresses en seulement 41 minutes . L'attaque a commencé près de 30 heures avant que Coinkite n'émette un avertissement public .
• 30 juillet 2026, soir (ET) — Une deuxième vague de 25 minutes draine environ 594 BTC (environ 38 millions de dollars) d'environ 500 wallets .
• Fin juillet au 3 août 2026 — Au moins deux autres vagues coordonnées se déroulent, Galaxy Research en suivant trois confirmées et 14 incidents plus petits .
• 31 juillet 2026 — Coinkite publie des correctifs firmware d'urgence pour tous les modèles et versions concernés .
• 1er au 4 août 2026 — Les avertissements publics s'intensifient alors que l'attaquant continue de vider les wallets. Galaxy Research réévalue ses estimations de pertes à la hausse à plusieurs reprises .
• 7 au 12 août 2026 — Les données on-chain de répercussion émergent, montrant une migration massive des détenteurs et une création record de wallets .

Montant total volé

Les estimations ont varié au fil de l'incident, mais le chiffre le plus complet provient de TRM Labs et Galaxy Research : environ 1 816 BTC (~116 millions de dollars) volés sur plus de 5 200 adresses en quatre vagues d'attaque . Des rapports précédents citaient des totaux plus faibles (1 367 BTC depuis 4 585 adresses, soit environ 89 millions de dollars) car l'enquête était encore incomplète . Certaines sources estimaient que les pertes totales pourraient finalement atteindre 2 055 BTC (environ 130 millions de dollars) si une quatrième vague suspectée était entièrement vérifiée .

La migration de 15 milliards de dollars : 233 000 BTC quittent les wallets long terme

Dans les jours suivant la brèche, les sociétés d'analyse on-chain ont enregistré une fuite massive vers la sécurité :

• Les données de Checkonchain montrent que 233 000 BTC ont quitté les wallets des détenteurs long terme, pour une valeur d'environ 15 milliards de dollars .
• Glassnode a rapporté qu'environ 210 000 BTC (~13,69 milliards de dollars) ont quitté des wallets inactifs depuis plus de 155 jours — la plus forte baisse hebdomadaire de Bitcoin détenu à long terme depuis décembre 2024 .

Cette migration reflète à la fois les utilisateurs de Coldcard déplaçant leurs fonds vers de nouveaux wallets et une panique plus large, alors que les détenteurs long terme — y compris les utilisateurs de Ledger et Trezor, selon Nick Neuman, PDG de Casa — ont déplacé leurs coins vers d'autres modes de conservation .

Création record de wallets : 2,27 millions de nouveaux wallets en une semaine

Au cours de la semaine se terminant vers le 8 août 2026, Bitcoin a établi un record annuel d'activité on-chain :

• 2,27 millions de nouveaux wallets ont été créés.
• 751 000 wallets actifs ont été enregistrés.

Ce pic a été directement provoqué par les détenteurs se précipitant pour retirer leurs fonds des appareils Coldcard et générer des wallets entièrement nouveaux sur du matériel différent .

Le débat sur l'auto-conservation

L'exploit a déclenché un débat intense sur les hypothèses de sécurité des wallets hardware et de l'auto-conservation :

• Nick Neuman, PDG de Casa, a rapporté que certains clients, citant la brèche Coldcard, remettaient en question l'auto-conservation et se tournaient vers des dépositaires qualifiés .
• Les experts en sécurité ont noté que