Galaxy Research chiffre les pertes Coldcard confirmées à 1 778 BTC dérobés, soit environ 112 M$, dans l’exploitation de la faille d’entropie du fabricant. Une quatrième vague soupçonnée porterait le total à 2 417 BTC, près de 151,3 M$. Les attaquants n’ont plus bougé depuis le 6 août. Plus de 190 victimes ont été contactées directement, et la majeure partie du butin dort encore à l’arrêt.
Pour résumer
- 1 778 BTC sont confirmés volés, une quatrième vague porterait le total à 2 417 BTC.
- Un firmware de mars 2021 a ramené l’entropie de génération de graine à 40 bits sur certains modèles.
- Environ 1 531 BTC dorment encore sur les adresses des attaquants, 246 BTC ont été blanchis.
Quarante bits d’entropie au lieu de cent vingt-huit
La faille ne vient pas d’une porte dérobée mais d’un défaut de hasard. Le générateur matériel d’aléa a cessé de contribuer à la création des graines dans certaines versions du micrologiciel, laissant le travail à un générateur logiciel bien plus prévisible.
La conséquence est brutale et chiffrable. Une graine censée reposer sur 128 bits d’entropie est tombée à environ 40 bits sur les modèles Mk2 et Mk3 équipés des versions 4.0.1 à 4.1.9. Un espace de recherche de 40 bits se parcourt avec du matériel ordinaire. C’est ce mécanisme qui avait permis la disparition de 70 M$ en bitcoins en quarante et une minutes.
Le fabricant a détaillé l’étendue exacte du problème. L’avis de sécurité publié par Coinkite précise que les Mk4, Q et Mk5 antérieurs aux versions corrigées se retrouvent autour de 72 bits, un niveau dégradé mais nettement moins exposé que les 40 bits des générations précédentes.
L’origine remonte à un changement de plomberie logicielle. Le rapport technique du fabricant sur l’incident pointe Yasmarang, le générateur pseudo-aléatoire intégré à MicroPython depuis mai 2018, qui s’est retrouvé dans le chemin de génération des graines lors d’une migration de bibliothèque en mars 2021. Cinq ans se sont écoulés avant la découverte.
Une population d’utilisateurs échappe entièrement au problème. Ceux qui ont saisi au moins 50 jets de dés indépendants et privés lors de la création de leur graine ont apporté à eux seuls 128 bits d’entropie. À 99 jets, l’apport monte à environ 256 bits.
La méthode d’attaque découle mécaniquement de ces chiffres. Les assaillants ont reconstruit les graines à partir des numéros de série des appareils et des états d’horloge, puis ont balayé les fonds sans jamais toucher physiquement un seul boîtier.
Les vagues d’attaque se sont taries le 6 août
La chronologie est resserrée. L’exploitation a démarré le 30 juillet 2026 et la dernière activité confirmée d’un attaquant remonte au 6 août. Aucune opération n’a été détectée depuis cette date.
L’onde de choc dépasse largement les porteurs concernés. Environ 15 Md$ de bitcoins ont été déplacés vers des dépôts jugés plus sûrs, et les fabricants concurrents signalent une poussée d’hameçonnage qui exploite la panique. La séquence rappelle celle de la fuite de 13 689 adresses de clients Trezor quelques jours plus tard.
Galaxy Research avance deux explications à cet arrêt, sans trancher entre elles. Soit les utilisateurs vulnérables ont migré leurs fonds à temps, soit l’essentiel de ce qui pouvait être drainé l’a déjà été. Les deux hypothèses conduisent au même résultat pratique, avec des conséquences très différentes pour ceux qui n’ont pas encore bougé.
Le sort du butin apporte un élément inhabituel. Environ 1 531 BTC n’ont pas bougé des adresses contrôlées par les attaquants, quand 246 BTC seulement ont été déplacés, dont près des deux tiers via des services de mélange. Immobiliser une somme pareille traduit soit une prudence face au suivi on-chain, soit une difficulté réelle à écouler le volume.
Le décompte des victimes reste provisoire. Plus de 190 personnes ont été contactées directement par les analystes, un chiffre qui ne recouvre que les cas identifiés et documentés à ce stade de l’enquête.
Les pertes Coldcard définitives dépendront donc de deux inconnues encore ouvertes : la confirmation de la quatrième vague et le nombre de victimes qui ne se sont pas encore manifestées. L’écart entre 112 M$ et 151,3 M$ tient entièrement dans cette zone grise.
À voir également sur Cryptonomic :
- MSCI veut exclure Strategy de ses indices boursiers
- Trezor laisse fuiter 13 689 adresses de clients
- Reg Crypto : la SEC annule sa réunion sans nouvelle date
Ce que doit faire un porteur de Coldcard aujourd’hui
La consigne des analystes ne souffre aucune nuance. Tout détenteur d’un portefeuille Coldcard à signature unique doit transférer ses fonds vers de nouvelles adresses sans attendre, y compris si aucun mouvement suspect n’est apparu.
La raison tient à la nature de la vulnérabilité. Une graine faible ne se répare pas par une mise à jour, puisque le secret lui-même a été mal tiré à l’origine. Installer le micrologiciel corrigé, disponible en version 4.2.0 pour les Mk2 et Mk3, protège les graines futures et laisse les anciennes exactement aussi exposées qu’avant.
Le multisignature change complètement l’équation. Un dispositif exigeant plusieurs clés indépendantes reste protégé même si l’une des graines est reconstituée, ce qui explique que la recommandation vise nommément les configurations à signature unique. La leçon dépasse le seul matériel : elle s’était déjà imposée quand une faille BTCPay Server a vidé des nœuds Lightning.
À moyen terme, l’épisode déplace la ligne de faille du secteur. Le portefeuille matériel a été vendu pendant dix ans comme la réponse définitive au risque de conservation. Il vient de montrer que sa promesse dépend d’un maillon invisible pour l’acheteur, la qualité du hasard produit à la première seconde de vie de l’appareil.
L’auditabilité devient l’enjeu suivant. Un acheteur peut vérifier la signature d’un micrologiciel, il ne peut pas vérifier que le générateur matériel a réellement contribué à sa graine. Les mouvements de fonds observés cette année, comme la montée de 90 portefeuilles au-dessus de 10 000 BTC, se jouent sur des dispositifs dont personne n’audite ce niveau.
Le calme observé depuis le 6 août n’apporte donc aucune garantie. Une graine faible le reste indéfiniment, et rien n’oblige un attaquant à exploiter immédiatement ce qu’il a déjà calculé.
Le décompte final des pertes Coldcard se mesurera donc sur des mois, pas sur les deux semaines écoulées depuis le début de l’exploitation. Les graines calculées et non encore utilisées constituent un stock dormant dont personne ne connaît la taille, y compris les analystes qui suivent le dossier depuis le 30 juillet.
Affaire à suivre sur Cryptonomic.
