Whale alerts : le hack Coldcard rend les baleines illisibles

Le 3 août 2026, une adresse Bitcoin muette depuis 2013 s’est rallumée. Cinq cents BTC, immobiles depuis douze ans et sept mois, valant environ un demi-million de dollars le jour de leur dernier mouvement, ont changé de main en un seul bloc : valeur du jour, près de 31,3 millions de dollars, soit environ 27 millions d’euros, selon The Cryptonomist. Le service Whale Alert a sonné, comme des centaines de fois par semaine. Il y a un an, ce signal aurait posé une seule question aux traders : cette baleine va-t-elle vendre ? En août 2026, la question s’est fragmentée, et c’est précisément là que réside le problème.

Car ce transfert n’était probablement pas une vente. D’après la société d’analyse on-chain Lookonchain, il pourrait s’agir d’un « mouvement défensif directement lié au hack Coldcard », le vol de portefeuilles matériels le plus lourd de l’année. L’alerte, elle, était indistinguable de celle d’une liquidation. La réalité probable en était l’exact opposé : un détenteur de long terme qui met ses fonds à l’abri, la peur au ventre.

Août 2026 restera le mois où les whale alerts ont cessé d’être lisibles à l’unité. Entre un exploit qui a vidé des milliers d’adresses, des propriétaires qui fuient vers de nouveaux wallets et le flux habituel d’accumulation et de distribution, une même ligne de données, « X BTC déplacés depuis une adresse dormante », peut désormais désigner trois réalités radicalement différentes. Cet article décortique ce brouillage, chiffres vérifiés à l’appui, puis élargit la focale au signal agrégé, qui s’est lui aussi retourné cette semaine.

Août 2026, le mois où l’alerte a perdu son sens unique

Une whale alert, à la base, est une notification automatique déclenchée quand une transaction dépasse un certain seuil, souvent un million de dollars, sur une blockchain surveillée. Des services comme Whale Alert, Arkham ou Lookonchain diffusent ces pings en quasi-temps réel. Le principe séduit par sa simplicité : les gros portefeuilles bougeraient avant le marché, donc les suivre reviendrait à lire par-dessus l’épaule des mieux informés. La réalité a toujours été plus nuancée, mais jusqu’à cet été, l’éventail des interprétations restait gérable.

Le hack Coldcard a ajouté une variable que personne n’intégrait dans sa grille de lecture : le mouvement contraint. Un coin peut désormais bouger parce qu’un voleur vide le portefeuille de sa victime ; parce que le propriétaire, alerté, évacue en catastrophe vers une adresse neuve ; ou, comme toujours, parce qu’il vend, transfère vers un dépositaire ou réorganise sa garde. Les trois cas produisent la même signature de base à l’écran : des BTC quittent une vieille adresse pour une autre. La sémantique de l’alerte, elle, a explosé.

Ce n’est pas un détail théorique. Sur les seules premières semaines d’août, plusieurs des plus gros réveils de coins dormants de l’année sont survenus en pleine tempête Coldcard : 6 388 BTC dormants depuis cinq à sept ans déplacés le 31 juillet, 935 BTC immobiles depuis plus de dix ans le 3 août, sans compter le cas des 500 BTC de 2013 évoqué plus haut, tous recensés par The Cryptonomist. Chacun a nourri des titres sur d’éventuelles ventes de baleines. Aucun n’a été confirmé comme tel.

Le hack Coldcard, une graine faible restée cachée cinq ans

Pour comprendre pourquoi les alertes se sont brouillées, il faut comprendre l’exploit. Coldcard est un portefeuille matériel fabriqué par la société canadienne Coinkite, apprécié des bitcoiners pour son approche « air-gapped » et sa culture de la sécurité. En mars 2021, une mise à jour de firmware de la série 4.0 a introduit une erreur de configuration de compilation : au lieu de puiser dans le générateur de nombres aléatoires matériel de l’appareil, certains modèles retombaient sur un générateur logiciel faible pour créer la graine (le « seed ») du portefeuille.

Les conséquences sont techniques mais dévastatrices. Selon l’analyse de TRM Labs, l’entropie effective des graines concernées s’est effondrée des 128 bits visés à seulement 40 bits environ sur les Coldcard Mk3. Une clé de 40 bits n’exige aucun accès physique à l’appareil : elle se retrouve par force brute, sur un ordinateur ordinaire, en un temps raisonnable. Autrement dit, une graine créée avec une entropie faible reste faible pour toujours, comme l’a souligné Galaxy Research : mettre à jour le firmware après coup ne répare pas une clé déjà générée.

Les versions 4.0.1 à 4.1.9 sont les plus exposées, et seules les graines produites par l’appareil sans jets de dés utilisateur ni phrase de passe BIP39 supplémentaire sont vulnérables. Les utilisateurs qui avaient ajouté leur propre entropie ou une passphrase étaient donc protégés, une nuance capitale sur laquelle nous reviendrons. Le PDG de Coinkite, Rodolfo Novak, a présenté ses excuses publiques sur X, se disant « anéanti » et assumant « l’entière responsabilité du bug de firmware ». Sa consigne, relayée par Bitcoin Magazine, était sans ambiguïté : « Si vous avez généré une graine avec un portefeuille Coldcard, déplacez vos fonds maintenant, en suivant nos nouvelles bonnes pratiques, avant même de lire la suite. »

Voilà le point qui relie tout : la propre recommandation du fabricant était de faire bouger les fonds. Des milliers de détenteurs ont obéi. Chacun de ces déplacements ressemble, sur la chaîne, à une baleine qui se met en mouvement.

Pourquoi un hack change la lecture de chaque alerte

Reprenons la mécanique du marché. La lecture classique d’une whale alert repose sur une chaîne d’inférences : gros portefeuille plus mouvement plus destination égale intention probable. Un dépôt vers un exchange suggère une vente ; un retrait vers un cold wallet suggère de l’accumulation ou une mise en garde longue durée. Cette grille n’a jamais été parfaite, mais elle fonctionnait statistiquement.

Le hack Coldcard casse le maillon central : l’intention. Quand la première vague a drainé 594 BTC en vingt-cinq minutes, d’après CoinDesk, ces BTC ont bel et bien bougé, déclenchant des alertes, mais l’acteur n’était pas le propriétaire : c’était le voleur. Quand l’attaque s’est étendue à plusieurs milliers d’adresses début août, portant les pertes vers 89 millions de dollars selon CoinDesk, chaque consolidation de butin a produit, elle aussi, sa propre alerte.

Superposez à cela la réaction des victimes potentielles. Le fabricant lui-même a dit à ses clients de déplacer leurs fonds. Résultat : une vague de sorties « préventives » de vieux wallets, indistinguables des sorties « offensives » du voleur, elles-mêmes indistinguables des sorties « ordinaires » d’un détenteur qui aurait de toute façon vendu. Trois moteurs, une seule signature. C’est la première fois qu’un événement de sécurité unique injecte à ce point de bruit dans le flux on-chain grand public.

La baleine qui fuit : une nouvelle catégorie de mouvement

Le mouvement défensif mérite qu’on s’y arrête, car c’est la nouveauté conceptuelle de l’été. Jusqu’ici, les analystes classaient les sorties de coins dormants en deux grandes familles : la prise de bénéfices (un « OG » qui vend enfin) et la mise à niveau de la garde (passage à un multisig, à un nouveau dépositaire, ou simplement à une adresse plus récente). Le cas du wallet 18TExP relève d’une troisième famille : la fuite.

Ici, le déclencheur n’est ni le prix ni un projet successoral, mais la peur. Un détenteur apprend que son modèle de portefeuille a peut-être généré une graine faible, et il agit avant que la force brute ne l’atteigne. La signature on-chain est trompeuse au possible : de très vieux coins, longtemps considérés comme la « main la plus solide » du marché, se mettent soudain à bouger en masse, ce qui, dans n’importe quel autre contexte, aurait hurlé « distribution de fin de cycle ». Ici, c’est l’inverse : c’est un réflexe de survie qui, s’il aboutit à un stockage encore plus profond, retire au contraire de l’offre au marché.

Cette confusion dépasse le seul Coldcard. Elle rappelle que la rareté programmée du bitcoin, thème que nous avons creusé dans notre analyse du modèle stock-to-flow face à la liquidité, ne dit rien de la disponibilité réelle des coins. Un coin « rare » qui bouge par peur n’est pas un coin qui arrive sur le marché. Confondre mouvement et offre vendeuse est une erreur de lecture ancienne ; le hack lui a juste donné son exemple le plus spectaculaire.

La baleine volée : quand c’est le voleur qui sonne l’alerte

Le miroir de la fuite, c’est le vol. Une part des alertes d’août a été déclenchée non par des propriétaires, mais par les attaquants eux-mêmes, occupés à rassembler leur butin. Fait notable, le blanchiment est resté minimal à ce stade. Selon TRM Labs, l’essentiel des fonds volés a été regroupé sur un petit nombre d’adresses contrôlées par les attaquants, avec très peu de tentatives de brouillage : un dépôt de 64,9 BTC vers Wasabi et 200 ETH vers Tornado Cash début août, et surtout des sauts de consolidation simples plutôt que du mixage ou du « layering ».

Cette discrétion relative complique encore la lecture. Un voleur qui déplace lentement, sans passer par un mixer, produit exactement le même type d’alerte qu’un détenteur prudent. TRM n’a d’ailleurs attribué l’attaque à aucun acteur précis : les schémas de construction des transactions diffèrent d’une vague à l’autre, ce qui suggère plusieurs attaquants opérant en parallèle. Autrement dit, même les enquêteurs professionnels, avec leurs outils de clustering, n’ont pas encore réduit la carte à un seul suspect.

La leçon, pour le lecteur d’alertes, est humiliante : si les firmes de renseignement blockchain, qui étiquettent les adresses à longueur de journée, hésitent encore sur le motif d’un mouvement, un tableau de bord grand public n’a aucune chance de trancher en temps réel. Une alerte est un point de départ pour une enquête, jamais une conclusion. Ceux qui suivent les baleines sur des plateformes ultra-transparentes comme Hyperliquid, où chaque position est publique, connaissent bien cette tentation de surinterpréter un signal brut.

Le rappel qui fait mal : mouvement n’est pas intention

Tout ceci ramène à un principe que les vétérans répètent sans être écoutés : la blockchain montre le mouvement, jamais le motif. Un dépôt sur un exchange n’est pas une vente (il peut servir de collatéral, alimenter un desk OTC, ou approvisionner un compte de trading sans exécution). Un retrait n’est pas de l’accumulation (il peut préparer une vente de gré à gré hors chaîne). Et, depuis cet été, un mouvement de coin dormant n’est pas forcément une décision de son propriétaire.

Les acteurs eux-mêmes brouillent volontiers les pistes. Les mineurs, par exemple, forment une espèce de baleine à part : ils émettent structurellement du BTC neuf et doivent en vendre une partie pour payer leurs factures d’électricité, ce qui rend leurs flux mécaniquement différents de ceux d’un spéculateur, comme nous l’avons détaillé à propos des mineurs, ces baleines qui frappent le Bitcoin. Confondre un transfert de mineur vers un dépositaire avec une capitulation est une erreur classique. Le hack Coldcard n’a pas inventé le problème de l’intention ; il l’a porté à un niveau d’ambiguïté inédit.

Il faut aussi rappeler que les baleines ne sont pas des oracles. Elles se trompent, se font liquider, paniquent. Suivre aveuglément un gros portefeuille, c’est copier ses erreurs autant que ses réussites, avec un temps de retard. L’alerte dit qui a bougé, parfois combien ; elle ne dit ni pourquoi, ni si le mouvement était avisé.

Pendant ce temps, le signal agrégé s’est retourné

Si les alertes individuelles sont devenues illisibles, le signal agrégé, lui, a envoyé un message plus clair cette semaine : la tendance de l’été s’est inversée. Pendant des mois, les flux pointaient vers les plateformes institutionnelles. The Cryptonomist recense ainsi une série d’entrées massives vers Coinbase Institutional en provenance de Binance : 1 137 BTC le 7 juillet, 887 BTC le 7 août, 1 013 BTC le 11 août, 1 049 BTC le 21 août, soit plus de 4 000 BTC (environ 275 millions de dollars) accumulés côté institutionnel.

Le 25 août, le vent a tourné. Un transfert de 659 BTC, environ 52 millions de dollars (près de 44 millions d’euros), est sorti de Coinbase Institutional vers un portefeuille inconnu, rompant la logique d’entrées de l’été. Une sortie institutionnelle vers une adresse anonyme cadre mal avec le récit d’accumulation qui dominait jusque-là. Là encore, l’intention reste inconnue : garde renforcée, transfert vers un client, préparation d’un deal OTC ? L’alerte ne le dira pas.

Cette bascule s’inscrit dans un contexte de volumes élevés. Le 18 août, d’après Swiss Whale Intelligence, le volume attribué aux baleines a atteint 132 339 BTC, soit 79 % au-dessus de la moyenne à sept jours, avec 20 990 BTC entrant sur les exchanges contre 18 626 en sortant, un solde net entrant de 2 363 BTC. Bref, du mouvement, beaucoup, et une direction qui change de semaine en semaine.

Les ETF achètent, le retail déteste

Au-dessus du bruit on-chain, une divergence plus lisible s’est installée en août : les fonds négociés en Bourse (ETF) au comptant achètent, quand le sentiment de détail reste franchement négatif. Selon Yellow, les ETF Bitcoin américains ont enchaîné six séances consécutives d’entrées nettes, sans un seul jour de sortie nette sur l’ensemble du mois ; le 3 août, l’IBIT de BlackRock a absorbé 111 millions de dollars, Fidelity 33 millions, et Franklin Templeton 9 millions, son premier achat en plus de trente jours. Sur sept jours, les entrées nettes ont atteint 1 241 BTC, environ 79,4 millions de dollars, et, d’après les données Arkham citées, aucun ETF Bitcoin n’a vendu de BTC en août.

Cette fermeté institutionnelle contraste avec un sentiment de détail déprimé (un ratio positif sur négatif de 0,54 mesuré par Santiment) et avec des ETF Ethereum qui, eux, ont enregistré des sorties. Le tableau colle à la lecture de CryptoQuant. Son responsable de la recherche, Julio Moreno, a résumé la phase de marché dans une note relayée par The Block : « Sur le bitcoin, l’ether et le XRP, les plus grandes cohortes ajoutent de l’offre alors que les prix se situent près de leur prix réalisé ou en dessous. » Selon lui, ce positionnement réduit la pression baissière et cadre avec la phase finale d’un cycle de repli, sans qu’un plancher soit pour autant confirmé.

Traduit en clair : les gros portefeuilles (hors exchanges et pools de minage) ont continué d’accumuler, autour de 3,06 millions de BTC début août contre 2,87 millions au creux de décembre 2025, l’accumulation s’étant accélérée quand le prix est passé sous les 60 000 dollars en juin. Ce sont ces flux de fond, et non les alertes spectaculaires à l’unité, qui dessinent la vraie posture des baleines. Ceux qui préfèrent lire le positionnement via les dérivés retrouveront la même prudence dans notre suivi du carry trade sur les futures.

Auto-conservation : la liberté sans filet

Le hack Coldcard rouvre le débat le plus ancien de l’écosystème : qui doit détenir les clés ? La promesse de l’auto-conservation est totale (personne ne peut geler, saisir ou censurer vos fonds), mais son revers l’est tout autant : personne ne vous rembourse. Le fondateur de Binance, Changpeng Zhao, l’a formulé sans détour après l’exploit, cité par Fortune : « Je crois en l’auto-conservation, mais elle fait peser la responsabilité sur vos épaules. »

Coinkite, de son côté, a reconnu l’ampleur du choc. Dans son communiqué, l’entreprise a écrit que « ces trois derniers jours comptent parmi les plus difficiles de l’histoire de la société », tout en rappelant que le correctif protège les nouvelles graines sans réparer celles déjà générées. Le décalage est cruel : un utilisateur a pu tout faire correctement, acheter un appareil réputé, le garder hors ligne, et se faire tout de même vider parce qu’un bug de compilation vieux de cinq ans avait affaibli sa clé à son insu.

Pour le lecteur d’alertes, cet épisode a une conséquence directe : une part du mouvement des baleines de cet été n’est pas un choix d’investissement, c’est la conséquence d’un incident de sécurité. Intégrer cette possibilité dans sa grille de lecture n’est plus optionnel.

Ce que l’AMF couvre, et ce qu’elle ne couvre pas

Côté français, il faut distinguer nettement deux régimes. D’un côté, la surveillance des abus de marché : le titre VI du règlement MiCA (articles 86 à 92, sur les opérations d’initiés, la divulgation illicite et la manipulation de marché) s’applique à toutes les transactions sur crypto-actifs, sur plateforme comme hors plateforme, dans toute l’Union depuis fin décembre 2024. Observer les baleines est parfaitement légal ; agir sur une information privilégiée non publique ne l’est pas. En France, c’est l’Autorité des marchés financiers (AMF) qui veille, la période transitoire des prestataires (PSAN vers agrément CASP) s’étant achevée le 1er juillet 2026, comme le rappelle l’AMF.

De l’autre côté, la question de la garde. Et là, une réalité doit être dite clairement : l’auto-conservation se situe en dehors du périmètre protecteur de MiCA. Le règlement encadre les prestataires de services sur crypto-actifs (exchanges, dépositaires), notamment leur régime de responsabilité en matière de garde, ainsi que leur résilience opérationnelle. Il n’encadre ni le code d’un portefeuille matériel que vous achetez, ni la façon dont vous gérez vos propres clés. Un vol subi en auto-conservation, comme celui du hack Coldcard, relève du droit pénal (le vol, la fraude), pas d’un mécanisme de dédommagement réglementaire.

Concrètement, aucune autorité, ni l’AMF ni une autre, ne rembourse un utilisateur dont la graine était faible. Le recours, s’il existe, est judiciaire, contre l’auteur du vol s’il est identifié, ou éventuellement contre le fabricant sur le terrain de la responsabilité du fait des produits, un chemin long et incertain. Cette asymétrie est le prix de la souveraineté.

Lire une alerte de coin dormant à l’ère du hack

Comment, alors, garder la tête froide devant un ping de baleine en août 2026 ? Quelques réflexes, plus prudents que jamais.

• Vérifier l’âge et l’origine des coins : des BTC générés sur la période 2021, ou liés à un portefeuille matériel, méritent une prudence particulière dans le contexte actuel.
• Regarder la destination avant tout : une adresse neuve suggère une garde ou une fuite ; un exchange connu suggère (sans le prouver) une intention de vente ; un dépositaire type Galaxy ou BitGo suggère souvent un changement de garde, pas une liquidation.
• Attendre 24 à 48 heures : un mouvement sans suite (pas de dépôt exchange derrière) penche pour la garde ou la fuite, pas pour la vente.
• Croiser les sources : un même transfert lu par Whale Alert, Arkham et Lookonchain donne souvent trois angles ; c’est la convergence qui informe, pas l’alerte isolée.
• Se méfier des titres : une baleine déplace X millions n’est pas une information de marché tant que le motif n’est pas établi.

Ce protocole ne transforme pas une alerte en boule de cristal. Il évite surtout l’erreur inverse, celle qui coûte cher : réagir à un signal brut comme s’il portait déjà son interprétation. En période de hack, cette discipline vaut de l’or.

L’angle qui dérange : l’IA au cœur du bug

Un fil secondaire de cette affaire mérite l’attention de quiconque suit la sécurité crypto. Selon Bitcoin Magazine, l’IA aurait joué un rôle des deux côtés. D’un côté, elle a aidé à débusquer le bug latent : Rodolfo Novak a reconnu que « la revue de code assistée par IA peut désormais repérer des bugs latents à une vitesse qui dépasse même les experts les plus chevronnés du secteur ». De l’autre, la même capacité, entre de mauvaises mains, accélère la découverte de failles exploitables.

Ce basculement change l’économie de l’audit. Un bug de configuration vieux de cinq ans, invisible pour des générations de revues manuelles, tombe en quelques passes d’un modèle bien orienté. Pour les baleines, la conclusion est inconfortable : un montant élevé n’est plus, en soi, une protection. La taille attire l’outillage, et l’outillage s’automatise.

Pour le lecteur d’alertes, cela ajoute une raison de plus de considérer certains mouvements de gros portefeuilles comme des réactions à des menaces techniques, et non comme des paris directionnels. La frontière entre incident de sécurité et signal de marché n’a jamais été aussi poreuse.

Ce qu’il faut surveiller maintenant

Plusieurs fils resteront à suivre dans les semaines à venir. D’abord, le sort du butin : tant que les fonds volés restent groupés sur quelques adresses, chaque déplacement produira des alertes qu’il faudra distinguer des mouvements légitimes. Un passage massif vers des mixers ou des exchanges marquerait un tournant.

Ensuite, la vague de fuites défensives devrait s’estomper à mesure que les détenteurs Coldcard concernés se mettent à l’abri ; une décrue des réveils de coins dormants signalerait la fin de l’épisode, pas une capitulation des « OG ». Enfin, la divergence entre des ETF acheteurs et un retail pessimiste reste le vrai bras de fer du moment. Avec un bitcoin autour de 68 900 euros, en hausse d’environ 4 % sur la journée selon CoinGecko, mais encore quelque 36 % sous son record de 107 662 euros, l’issue est ouverte.

Pour les paris chiffrés sur la fin d’année, nous tenons à jour la fourchette des prévisions dans notre panorama des objectifs de prix avant décembre. Une certitude, en revanche : la prochaine fois qu’une alerte annoncera qu’une baleine bouge, la bonne réaction sera de demander non pas vers où, mais pourquoi, en sachant que la réponse, cet été, comporte une possibilité de plus qu’avant.

Foire aux questions

Qu’est-ce qu’une whale alert et d’où viennent ces données ?

Une whale alert est une notification automatique déclenchée quand une transaction dépasse un seuil élevé, souvent un million de dollars, sur une blockchain publique. Des services comme Whale Alert, Arkham ou Lookonchain lisent les données on-chain, ajoutent des étiquettes d’adresses et diffusent ces mouvements en quasi-temps réel.

Le hack Coldcard veut-il dire que tous les portefeuilles matériels sont dangereux ?

Non. La faille visait des graines générées par certains Coldcard sous un firmware de 2021 (versions 4.0.1 à 4.1.9), sans jets de dés utilisateur ni phrase de passe BIP39. Les graines créées avec de l’entropie ajoutée ou une passphrase n’étaient pas concernées, et les autres fabricants ne sont pas touchés par ce bug précis.

Comment savoir si un mouvement de baleine annonce une vente ?

On ne peut pas le savoir avec certitude à partir de la seule alerte. Un dépôt vers un exchange augmente la probabilité d’une vente, un retrait vers une adresse neuve la diminue, mais aucun ne la prouve. Depuis le hack Coldcard, il faut aussi envisager un vol ou une fuite défensive, sans lien avec une décision de vendre.

Suivre les baleines est-il légal en France ?

Oui. Observer et analyser des transactions publiques est légal. Le titre VI de MiCA, surveillé en France par l’AMF, interdit seulement d’agir sur une information privilégiée non publique ou de manipuler le marché.

Un vol subi en auto-conservation est-il remboursable ?

Non, aucun régulateur ne rembourse un vol en auto-conservation. MiCA encadre les prestataires (exchanges, dépositaires), pas le code d’un portefeuille personnel ni votre gestion des clés. Le seul recours est judiciaire, contre l’auteur du vol ou, plus difficilement, contre le fabricant.

Par Liam Brennan, rédacteur marchés chez HOGE Wire.