Piratage du Coldcard : le plus grand exploit de wallet hardware explose la sécurité du Bitcoin

L'exploit du wallet hardware Coldcard qui a débuté le 30 juillet 2026 est la plus grande brèche de wallet hardware jamais enregistrée. Un bug firmware introduit en mars 2021 a réduit l'aléatoire de la génération des seeds de wallet de 128 bits à seulement 40 bits, permettant à des attaquants de forcer les clés privées à distance et de drainer du Bitcoin en quatre vagues coordonnées. Le vol total confirmé s'élève à environ 1 816 BTC — soit environ 116 millions de dollars à l'époque — provenant de plus de 5 200 adresses . Les répercussions ont secoué l'ensemble du réseau Bitcoin, provoquant une migration de 15 milliards de dollars de fonds de détenteurs long terme et une création record de wallets.

Cause de la vulnérabilité : un flag de compilation qui a brisé l'aléatoire

La cause racine était une erreur d'intégration firmware introduite dans une mise à jour Coldcard de mars 2021. Les versions affectées — en particulier les Coldcard Mk2 et Mk3 avec firmware 4.0.0 à 5.0.3 — contournaient le générateur de nombres aléatoires matériel dédié (RNG) lors de la création de la seed du wallet . Au lieu des 128 bits d'entropie prévus, le firmware redirigeait la génération de seed vers un générateur pseudo-aléatoire logiciel qui produisait des seeds avec seulement 40 bits d'entropie, réduisant l'espace possible des seeds à environ 4 milliards de valeurs .

Cela rendait les seeds prévisibles à distance et vulnérables au brute-force à partir de données publiques comme les numéros de série et les horloges des appareils, sans nécessiter d'accès physique au wallet . Les utilisateurs qui avaient généré leur seed manuellement avec des dés (en contournant la seed générée par l'appareil) n'ont pas été affectés .

Chronologie de l'attaque : quatre vagues en cinq jours

• Mars 2021 — Le code firmware défectueux est introduit dans une mise à jour Coldcard.
• 30 juillet 2026, 01h10–01h51 UTC — Première grande vague : 1 082,65 BTC (environ 70 millions de dollars à l'époque) sont vidés de 1 196 adresses en seulement 41 minutes . L'attaque a commencé près de 30 heures avant que Coinkite n'émette un avertissement public .
• 30 juillet 2026, soir (ET) — Une deuxième vague de 25 minutes draine environ 594 BTC (environ 38 millions de dollars) d'environ 500 wallets .
• Fin juillet au 3 août 2026 — Au moins deux autres vagues coordonnées se déroulent, Galaxy Research en suivant trois confirmées et 14 incidents plus petits .
• 31 juillet 2026 — Coinkite publie des correctifs firmware d'urgence pour tous les modèles et versions concernés .
• 1er au 4 août 2026 — Les avertissements publics s'intensifient alors que l'attaquant continue de vider les wallets. Galaxy Research réévalue ses estimations de pertes à la hausse à plusieurs reprises .
• 7 au 12 août 2026 — Les données on-chain de répercussion émergent, montrant une migration massive des détenteurs et une création record de wallets .

Montant total volé

Les estimations ont varié au fil de l'incident, mais le chiffre le plus complet provient de TRM Labs et Galaxy Research : environ 1 816 BTC (~116 millions de dollars) volés sur plus de 5 200 adresses en quatre vagues d'attaque . Des rapports précédents citaient des totaux plus faibles (1 367 BTC depuis 4 585 adresses, soit environ 89 millions de dollars) car l'enquête était encore incomplète . Certaines sources estimaient que les pertes totales pourraient finalement atteindre 2 055 BTC (environ 130 millions de dollars) si une quatrième vague suspectée était entièrement vérifiée .

La migration de 15 milliards de dollars : 233 000 BTC quittent les wallets long terme

Dans les jours suivant la brèche, les sociétés d'analyse on-chain ont enregistré une fuite massive vers la sécurité :

• Les données de Checkonchain montrent que 233 000 BTC ont quitté les wallets des détenteurs long terme, pour une valeur d'environ 15 milliards de dollars .
• Glassnode a rapporté qu'environ 210 000 BTC (~13,69 milliards de dollars) ont quitté des wallets inactifs depuis plus de 155 jours — la plus forte baisse hebdomadaire de Bitcoin détenu à long terme depuis décembre 2024 .

Cette migration reflète à la fois les utilisateurs de Coldcard déplaçant leurs fonds vers de nouveaux wallets et une panique plus large, alors que les détenteurs long terme — y compris les utilisateurs de Ledger et Trezor, selon Nick Neuman, PDG de Casa — ont déplacé leurs coins vers d'autres modes de conservation .

Création record de wallets : 2,27 millions de nouveaux wallets en une semaine

Au cours de la semaine se terminant vers le 8 août 2026, Bitcoin a établi un record annuel d'activité on-chain :

• 2,27 millions de nouveaux wallets ont été créés.
• 751 000 wallets actifs ont été enregistrés.

Ce pic a été directement provoqué par les détenteurs se précipitant pour retirer leurs fonds des appareils Coldcard et générer des wallets entièrement nouveaux sur du matériel différent .

Le débat sur l'auto-conservation

L'exploit a déclenché un débat intense sur les hypothèses de sécurité des wallets hardware et de l'auto-conservation :

• Nick Neuman, PDG de Casa, a rapporté que certains clients, citant la brèche Coldcard, remettaient en question l'auto-conservation et se tournaient vers des dépositaires qualifiés .
• Les experts en sécurité ont noté que