{"id":241,"date":"2026-08-06T22:30:31","date_gmt":"2026-08-06T22:30:31","guid":{"rendered":"https:\/\/hoge.gg\/fr\/coldcard-post-mortem-hack-sans-coupable-2026\/"},"modified":"2026-08-06T22:30:31","modified_gmt":"2026-08-06T22:30:31","slug":"coldcard-post-mortem-hack-sans-coupable-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/coldcard-post-mortem-hack-sans-coupable-2026\/","title":{"rendered":"Coldcard : le post-mortem d’un hack sans coupable"},"content":{"rendered":"

\u00ab Je n’ai jamais partag\u00e9 ma phrase de r\u00e9cup\u00e9ration avec personne. Mes appareils n’ont jamais \u00e9t\u00e9 connect\u00e9s \u00e0 Internet. \u00bb Le message de Jonathan Goodman, vu pr\u00e8s de 7,6 millions de fois, r\u00e9sume le vertige qui a saisi les partisans de la garde personnelle \u00e0 l’\u00e9t\u00e9 2026. Goodman avait fait exactement ce que tous les guides r\u00e9p\u00e8tent depuis dix ans : un portefeuille mat\u00e9riel, une phrase de r\u00e9cup\u00e9ration not\u00e9e hors ligne, aucune photo, aucune sauvegarde dans le cloud. Il a pourtant vu dispara\u00eetre 18,25 bitcoins, soit environ un million d’euros (pr\u00e8s de 1,6 million de dollars canadiens selon son propre d\u00e9compte), en quelques minutes, comme le rapporte Forbes<\/a>.<\/p>

La cause tenait dans une seule ligne de code \u00e9crite en 2021, \u00e0 l’int\u00e9rieur du firmware de son Coldcard, le portefeuille mat\u00e9riel de la soci\u00e9t\u00e9 canadienne Coinkite. Divulgu\u00e9e le 30 juillet 2026, cette faille a permis de deviner les cl\u00e9s priv\u00e9es de milliers d’utilisateurs sans jamais toucher physiquement \u00e0 leur appareil. Au 4 ao\u00fbt, plusieurs soci\u00e9t\u00e9s d’analyse on-chain chiffraient le butin \u00e0 plus de 130 millions de dollars, soit plus de 113 millions d’euros, r\u00e9parti sur plus de 5 200 adresses, selon TechCrunch<\/a>.<\/p>

Cet article est une autopsie : la m\u00e9canique de l’exploit, la chronologie de la fuite, et surtout ce qui rend ce dossier singulier. La culture crypto a pass\u00e9 une d\u00e9cennie \u00e0 codifier le post-mortem, ce rituel public o\u00f9 l’on diss\u00e8que un d\u00e9sastre pour en tirer des le\u00e7ons. Or le cas Coldcard casse d’un coup tous les pr\u00e9suppos\u00e9s du genre : pas de DAO pour voter un remboursement, pas de tr\u00e9sorerie pour \u00e9ponger la perte, pas d’attaquant unique \u00e0 qui proposer une prime, pas m\u00eame de montant final, puisque la fuite se poursuit. C’est un post-mortem sans coupable.<\/p>

Ce qui s’est pass\u00e9, en une phrase<\/h2>

Pendant plus de cinq ans, des Coldcard ont \u00e9t\u00e9 livr\u00e9s avec un firmware qui, au moment de cr\u00e9er une graine, se rabattait silencieusement sur une source d’al\u00e9a de mauvaise qualit\u00e9 au lieu du g\u00e9n\u00e9rateur mat\u00e9riel pr\u00e9vu. R\u00e9sultat : les cl\u00e9s qui en d\u00e9coulaient n’\u00e9taient pas r\u00e9ellement impr\u00e9visibles. Un attaquant capable de reconstituer l’espace des graines possibles pouvait alors calculer les adresses correspondantes, v\u00e9rifier lesquelles contenaient des bitcoins sur la cha\u00eene publique, puis les vider. Le portefeuille cens\u00e9 prot\u00e9ger l’utilisateur produisait lui-m\u00eame la faiblesse qui allait le trahir.<\/p>

Ce n’est pas un vol de cl\u00e9s, pas une attaque de smart contract, pas un pont pirat\u00e9. C’est une d\u00e9faillance \u00e0 la racine du mod\u00e8le de s\u00e9curit\u00e9 de la garde personnelle : la g\u00e9n\u00e9ration d’al\u00e9a. Et comme cette graine d\u00e9fectueuse a \u00e9t\u00e9 grav\u00e9e dans des milliers d’appareils au fil des ans, la correction du firmware ne referme pas la plaie pour ceux qui \u00e9taient d\u00e9j\u00e0 expos\u00e9s. Le fabricant Coinkite l’a confirm\u00e9 sur son propre blog : \u00ab nous ignorions l’existence de ce bug jusqu’\u00e0 aujourd’hui \u00bb, parlant d’une \u00ab s\u00e9rie de bugs complexes et subtils \u00bb (Coinkite<\/a>).<\/p>

La cause racine : une ligne de code de 2021<\/h2>

Le d\u00e9tail technique m\u00e9rite qu’on s’y arr\u00eate, car il est \u00e0 la fois banal et redoutable. En mars 2021, avec la version 4.0.0 du firmware, Coinkite migre une partie de sa pile cryptographique vers la biblioth\u00e8que libsecp256k1. \u00c0 cette occasion, la g\u00e9n\u00e9ration de graine cesse d’appeler la fonction maison de Coldcard pour lire le g\u00e9n\u00e9rateur d’al\u00e9a mat\u00e9riel, et passe par une fonction g\u00e9n\u00e9rique de MicroPython. Un garde-fou \u00e9tait pourtant pr\u00e9vu : une directive de pr\u00e9processeur devait v\u00e9rifier que le g\u00e9n\u00e9rateur mat\u00e9riel \u00e9tait bien activ\u00e9 avant de l’utiliser.<\/p>

Le garde-fou testait la mauvaise chose. Il v\u00e9rifiait si une macro de configuration \u00e9tait d\u00e9finie, et non si sa valeur \u00e9tait non nulle. Or la macro \u00e9tait d\u00e9finie mais valait z\u00e9ro. La condition n’a donc jamais d\u00e9clench\u00e9 l’alerte, et le firmware s’est rabattu en silence sur le g\u00e9n\u00e9rateur pseudo-al\u00e9atoire logiciel de MicroPython, surnomm\u00e9 \u00ab Yasmarang \u00bb, au lieu de la puce mat\u00e9rielle d\u00e9di\u00e9e. Le m\u00e9dia sp\u00e9cialis\u00e9 Blockhead<\/a> r\u00e9sume la faille d’une formule limpide : le contr\u00f4le \u00ab v\u00e9rifiait seulement qu’un r\u00e9glage existait, pas qu’il \u00e9tait activ\u00e9 \u00bb. Une garde personnelle irr\u00e9prochable reposait, \u00e0 son insu, sur un tirage \u00e0 pile ou face truqu\u00e9.<\/p>

Concr\u00e8tement, la g\u00e9n\u00e9ration de graine est pass\u00e9e de la fonction interne de Coldcard, qui lisait directement la puce d’al\u00e9a mat\u00e9riel, \u00e0 une routine g\u00e9n\u00e9rique emprunt\u00e9e \u00e0 MicroPython. Le g\u00e9n\u00e9rateur pseudo-al\u00e9atoire de secours n’\u00e9tait jamais cens\u00e9 produire des cl\u00e9s de valeur ; il servait \u00e0 des usages sans enjeu de s\u00e9curit\u00e9. Le code \u00e9tant public, n’importe qui pouvait en th\u00e9orie rep\u00e9rer l’anomalie. Mais personne ne relit un firmware ligne par ligne \u00e0 la recherche d’une macro d\u00e9finie \u00e0 z\u00e9ro, et rien, dans le comportement de l’appareil, n’invitait \u00e0 soup\u00e7onner quoi que ce soit. Le bug \u00e9tait \u00e0 la fois visible par tous et vu par personne.<\/p>

Ce genre d’erreur ne saute pas aux yeux \u00e0 la lecture. Elle ne provoque aucun plantage, aucune alerte, aucun sympt\u00f4me visible. L’appareil affiche une phrase de douze ou vingt-quatre mots parfaitement normale. Rien ne distingue, \u00e0 l’\u00e9cran, une graine tir\u00e9e avec 128 bits d’entropie d’une graine tir\u00e9e avec 40. C’est pr\u00e9cis\u00e9ment ce qui a permis au bug de dormir cinq ans.<\/p>

L’entropie, ou pourquoi 128 bits ne valent pas 40 bits<\/h2>

Une phrase de r\u00e9cup\u00e9ration n’est qu’une mani\u00e8re lisible de repr\u00e9senter un tr\u00e8s grand nombre secret. Pour une phrase de douze mots, ce nombre porte 128 bits d’entropie, soit environ 3,4 fois dix puissance 38 possibilit\u00e9s. Aucune ferme de calcul au monde ne peut parcourir un tel espace : c’est ce qui rend la garde personnelle solide. Le probl\u00e8me n’est pas la longueur de la phrase, mais le nombre de tirages r\u00e9ellement impr\u00e9visibles qui l’ont produite.<\/p>

C’est l\u00e0 que la faille fait mal. Sur les mod\u00e8les Mk2 et Mk3, l’entropie effective tombait \u00e0 environ 40 bits, soit \u00e0 peine plus de mille milliards de combinaisons, un espace qu’un attaquant motiv\u00e9 peut balayer. Sur les Mk4, Mk5 et Q, une puce de s\u00e9curit\u00e9 limitait les d\u00e9g\u00e2ts, mais l’entropie effective plafonnait autour de 72 bits, et l’analyse des chercheurs de Block la ram\u00e8ne \u00e0 seulement 32 bits utiles dans le pire des cas. Passer de 128 \u00e0 40 bits, ce n’est pas diviser la s\u00e9curit\u00e9 par trois : c’est la faire s’effondrer d’un facteur astronomique.<\/p>

Pour mesurer l’\u00e9cart, une image aide. Explorer 128 bits d\u00e9passe l’entendement : c’est hors de port\u00e9e, d\u00e9finitivement. Explorer environ 40 bits, en revanche, revient \u00e0 parcourir un peu plus de mille milliards de combinaisons, un espace qu’une infrastructure de calcul d\u00e9termin\u00e9e peut balayer. Ce n’est pas une hypoth\u00e8se d’\u00e9cole : c’est pr\u00e9cis\u00e9ment ce qui s’est produit. La comparaison la plus juste est celle du coffre-fort de banque face \u00e0 une bo\u00eete \u00e0 chaussures ferm\u00e9e par un cadenas \u00e0 trois chiffres. Les mod\u00e8les r\u00e9cents, mieux prot\u00e9g\u00e9s par leur puce de s\u00e9curit\u00e9, relevaient la barre sans jamais la ramener au niveau pr\u00e9vu. Le tableau ci-dessous r\u00e9sume l’exposition par mod\u00e8le.<\/p>

Mod\u00e8le<\/th>Firmware vuln\u00e9rable<\/th>Entropie effective<\/th>Firmware corrig\u00e9<\/th><\/tr><\/thead>
Mk2 \/ Mk3<\/td>4.0.0 \u00e0 4.1.x (depuis mars 2021)<\/td>environ 40 bits<\/td>4.2.0 et ult\u00e9rieur<\/td><\/tr>
Mk4 \/ Mk5<\/td>avant 5.6.0 (Edge avant 6.6.0X)<\/td>environ 72 bits (32 bits utiles selon Block)<\/td>5.6.0 \/ Edge 6.6.0X et ult\u00e9rieur<\/td><\/tr>
Q<\/td>avant 1.5.0Q (Edge avant 6.6.0QX)<\/td>environ 72 bits<\/td>1.5.0Q \/ Edge 6.6.0QX et ult\u00e9rieur<\/td><\/tr>
Cible th\u00e9orique<\/td>sans objet<\/td>128 bits (phrase de 12 mots)<\/td>sans objet<\/td><\/tr>
Graine par d\u00e9s (au moins 50 lancers)<\/td>non concern\u00e9e<\/td>128 bits et plus<\/td>migration inutile<\/td><\/tr><\/tbody><\/table><\/figure>

Comment on vide un coffre sans jamais le toucher<\/h2>

La phrase de Jonathan Goodman, \u00ab mes appareils n’ont jamais touch\u00e9 Internet \u00bb, dit une v\u00e9rit\u00e9 qui, dans ce cas pr\u00e9cis, ne l’a pas prot\u00e9g\u00e9. L’attaque n’avait pas besoin d’acc\u00e9der \u00e0 son Coldcard. Puisque les graines \u00e9taient pr\u00e9visibles, un attaquant pouvait les g\u00e9n\u00e9rer hors ligne, en masse, d\u00e9river pour chacune les adresses Bitcoin correspondantes, puis interroger la blockchain publique pour rep\u00e9rer celles qui contenaient des fonds. La transparence de la cha\u00eene, d’ordinaire pr\u00e9sent\u00e9e comme une vertu, s’est transform\u00e9e en liste de cibles.<\/p>

Le m\u00e9canisme s’appuie sur la mani\u00e8re m\u00eame dont Bitcoin d\u00e9rive les adresses. \u00c0 partir d’une seule graine, un portefeuille engendre de fa\u00e7on d\u00e9terministe une arborescence enti\u00e8re d’adresses, selon des standards publics et document\u00e9s. Deviner la graine, c’est donc deviner d’un coup toutes les adresses pr\u00e9sentes et futures du portefeuille. L’attaquant n’avait pas \u00e0 cibler une adresse pr\u00e9cise : il g\u00e9n\u00e9rait des graines candidates, d\u00e9pliait pour chacune les premi\u00e8res adresses de l’arbre, et les comparait \u00e0 la liste, publique, des adresses contenant des fonds. Un simple recoupement, men\u00e9 \u00e0 l’\u00e9chelle industrielle.<\/p>

Une fois les adresses fortun\u00e9es identifi\u00e9es, il ne restait qu’\u00e0 signer et diffuser des transactions de balayage. Pas de hame\u00e7onnage, pas de logiciel malveillant, pas de faux site, pas d’ing\u00e9nierie sociale. L’utilisateur n’avait aucun geste \u00e0 commettre, aucune erreur \u00e0 faire : la faille \u00e9tait d\u00e9j\u00e0 dans la graine, du premier jour. C’est ce qui rend le dossier si d\u00e9rangeant. Les conseils habituels (ne jamais taper sa phrase sur un clavier, ne jamais la photographier, se m\u00e9fier des liens) \u00e9taient tous respect\u00e9s par les victimes, et tous inutiles ici.<\/p>

La chronologie d’une fuite qui n’en finit pas<\/h2>

Le 30 juillet 2026, la faille est rendue publique. La premi\u00e8re vague est brutale : selon The Hacker News<\/a>, 1 196 adresses sont vid\u00e9es de 1 082,65 BTC, soit environ 70,2 millions de dollars, en 41 minutes. Il ne s’agit pas d’un ran\u00e7ongiciel qui laisse le temps de n\u00e9gocier ; c’est une course de vitesse, o\u00f9 plusieurs acteurs se disputent le m\u00eame vivier d’adresses faibles.<\/p>

Deux jours plus tard, le compteur s’est encore emball\u00e9. Blockhead \u00e9voque pr\u00e8s de 1 367 BTC, soit environ 88,6 millions de dollars, drain\u00e9s de plus de 4 500 adresses, un chiffre qui \u00ab n’a cess\u00e9 de grimper \u00bb depuis le 30 juillet. Le 4 ao\u00fbt, Forbes parle de plus de 116 millions de dollars sur plus de 5 200 adresses, tandis que TechCrunch rapporte que les soci\u00e9t\u00e9s de surveillance on-chain d\u00e9passent d\u00e9sormais les 130 millions de dollars. Tom Robinson, cofondateur et chief scientist de la soci\u00e9t\u00e9 d’analyse Elliptic, a indiqu\u00e9 \u00e0 TechCrunch que cette estimation \u00e9tait globalement exacte. Fait marquant, il ne s’agit pas d’un seul voleur : TechCrunch et la cellule Galaxy Research documentent \u00ab au moins une douzaine \u00bb de groupes distincts, agissant en parall\u00e8le sur le m\u00eame jeu d’adresses.<\/p>

Un butin qui monte encore<\/h2>

R\u00e9sumer ce dossier par un chiffre unique serait trompeur, car le total est une cible mouvante. Le tableau ci-dessous reprend les estimations successives, chacune rattach\u00e9e \u00e0 sa source et \u00e0 sa date, sans les fondre en une fausse pr\u00e9cision.<\/p>

Date (2026)<\/th>Source<\/th>Montant estim\u00e9<\/th>Adresses touch\u00e9es<\/th><\/tr><\/thead>
30 juillet<\/td>The Hacker News<\/td>environ 70,2 M$ (environ 61 M\u20ac), 1 082,65 BTC en 41 min<\/td>1 196<\/td><\/tr>
2 ao\u00fbt<\/td>Blockhead<\/td>environ 88,6 M$ (environ 77 M\u20ac), 1 367 BTC<\/td>plus de 4 500<\/td><\/tr>
3 ao\u00fbt<\/td>Privacy Guides<\/td>pr\u00e8s de 1 400 BTC d\u00e9rob\u00e9s<\/td>plusieurs milliers<\/td><\/tr>
4 ao\u00fbt<\/td>Forbes<\/td>environ 116 M$ (environ 100 M\u20ac)<\/td>plus de 5 200<\/td><\/tr>
4 ao\u00fbt<\/td>TechCrunch \/ Elliptic<\/td>plus de 130 M$ (plus de 113 M\u20ac)<\/td>plusieurs groupes actifs<\/td><\/tr><\/tbody><\/table><\/figure>

Pourquoi ce chiffre refuse-t-il de se figer ? Parce que la correction du firmware ne r\u00e9pare pas une graine d\u00e9j\u00e0 g\u00e9n\u00e9r\u00e9e avec une entropie insuffisante, comme l’a confirm\u00e9 Coinkite et comme le rappellent tous les d\u00e9comptes, y compris celui de Privacy Guides<\/a>. Tant que des utilisateurs conservent des fonds sur des adresses issues de graines faibles, le vivier reste ouvert. Il n’y a donc pas d’\u00e9v\u00e9nement de cl\u00f4ture, pas de moment o\u00f9 l’on pourra dire \u00ab c’est termin\u00e9, voici le bilan d\u00e9finitif \u00bb. La couverture m\u00e9diatique de la CBC parle d’un piratage \u00ab en cours \u00bb, et c’est la formulation exacte (CBC<\/a>).<\/p>

Le post-mortem sans coupable<\/h2>

Voici le c\u0153ur de ce dossier. Depuis dix ans, la crypto a invent\u00e9 une r\u00e9ponse culturelle propre aux catastrophes : le post-mortem, autopsie publique inspir\u00e9e \u00e0 la fois de la culture de l’ing\u00e9nierie de fiabilit\u00e9 et d’un besoin de reconstruire la confiance quand aucun recours l\u00e9gal n’existe. Ce rituel suppose toujours au moins un point d’ancrage : un protocole vivant, une \u00e9quipe, une tr\u00e9sorerie, une DAO qui vote, ou \u00e0 d\u00e9faut un attaquant identifiable \u00e0 qui parler. Le cas Coldcard fait sauter chacun de ces ancrages en m\u00eame temps.<\/p>

Il n’y a pas de DAO ni de jeton, donc aucune gouvernance pour voter un remboursement. Il y a un fabricant, Coinkite, mais une petite soci\u00e9t\u00e9 mat\u00e9rielle n’a pas les reins pour absorber plus de 113 millions d’euros. Il n’y a pas un attaquant, mais une douzaine de groupes anonymes qui se sont ru\u00e9s sur les m\u00eames adresses, et aucune attribution \u00e0 un acteur \u00e9tatique du type Lazarus ne tient pour l’instant. Et il n’y a pas de perte finale, puisque le compteur tourne encore. Compar\u00e9 aux grands pr\u00e9c\u00e9dents, l’\u00e9cart saute aux yeux.<\/p>

Incident<\/th>Type de faille<\/th>Qui r\u00e9pond publiquement<\/th>N\u00e9gociation possible<\/th>Qui absorbe la perte<\/th><\/tr><\/thead>
Coldcard (2026)<\/td>Entropie \/ firmware<\/td>Coinkite (fabricant)<\/td>Non (attaquants multiples, anonymes)<\/td>Personne<\/td><\/tr>
Euler (2023)<\/td>Bug de smart contract<\/td>L’\u00e9quipe et l’attaquant<\/td>Oui (prime on-chain, fonds rendus)<\/td>L’attaquant restitue pr\u00e8s de 100 pour cent<\/td><\/tr>
Ronin (2022)<\/td>Cl\u00e9s de validateurs<\/td>Sky Mavis<\/td>Non (Lazarus)<\/td>Sky Mavis (lev\u00e9e de 150 M$)<\/td><\/tr>
Bybit (2025)<\/td>Cha\u00eene d’approvisionnement de l’interface<\/td>Bybit (PDG Ben Zhou)<\/td>Non (Lazarus)<\/td>Bybit (bilan de la plateforme)<\/td><\/tr><\/tbody><\/table><\/figure>

Dans les trois autres cas, un responsable existe et l’utilisateur, au bout du compte, est le plus souvent rendu entier. Sky Mavis a lev\u00e9 des fonds pour rembourser les victimes de Ronin ; Bybit a puis\u00e9 dans son bilan ; l’attaquant d’Euler a m\u00eame rendu l’argent. Coldcard n’offre aucun de ces \u00e9pilogues. La question du remboursement, que nous avions d\u00e9j\u00e0 explor\u00e9e sous l’angle \u00ab qui paie vraiment quand le piratage a lieu \u00bb dans notre analyse sur la responsabilit\u00e9 apr\u00e8s un hack<\/a>, trouve ici sa r\u00e9ponse la plus dure : personne.<\/p>

Personne avec qui n\u00e9gocier<\/h2>

La crypto a invent\u00e9 un objet rituel que ni la finance traditionnelle ni le monde du logiciel ne connaissaient : la n\u00e9gociation on-chain avec l’attaquant. En 2023, l’auteur du hack d’Euler Finance avait laiss\u00e9 un message on-chain, \u00ab No intention of keeping what is not ours \u00bb (aucune intention de garder ce qui ne nous appartient pas), avant de restituer la quasi-totalit\u00e9 des fonds contre une prime de 10 pour cent, comme l’a document\u00e9 The Block<\/a>. Poly Network, en 2021, avait offert au sien le titre de \u00ab conseiller en chef pour la s\u00e9curit\u00e9 \u00bb et r\u00e9cup\u00e9r\u00e9 presque tout. Cette diplomatie de la derni\u00e8re chance suppose un interlocuteur unique, joignable, sensible \u00e0 la r\u00e9putation ou \u00e0 la menace p\u00e9nale.<\/p>

Coldcard n’a rien de tel. Face \u00e0 une douzaine de groupes opportunistes qui se disputent la m\u00eame liste d’adresses, \u00e0 qui adresser une offre ? Comment garantir qu’un remboursement d’un groupe n’ouvre pas la voie \u00e0 un autre ? La n\u00e9gociation on-chain, cette parade que la crypto affichait comme une preuve de maturit\u00e9, devient inop\u00e9rante d\u00e8s lors que l’attaquant n’est pas un mais une nu\u00e9e. La voie judiciaire n’est gu\u00e8re plus prometteuse : identifier, localiser et poursuivre une douzaine d’acteurs pseudonymes r\u00e9partis sur plusieurs juridictions rel\u00e8ve de l’exploit, et l’histoire r\u00e9cente, des proc\u00e8s autour des mixeurs jusqu’aux poursuites contre les fondateurs de plateformes que nous avons suivies dans notre dossier sur les rug pulls et la justice<\/a>, montre combien la responsabilit\u00e9 p\u00e9nale reste difficile \u00e0 \u00e9tablir dans cet univers.<\/p>

L’ironie : un bug rep\u00e9r\u00e9 par une IA<\/h2>

Le firmware de Coldcard est open source. Longtemps pr\u00e9sent\u00e9e comme un gage de confiance (n’importe qui peut auditer le code), cette ouverture prend soudain une couleur plus ambigu\u00eb. Rodolfo Novak, cofondateur et PDG de Coinkite, a livr\u00e9 une explication qui a fait d\u00e9bat : selon lui, la revue de code assist\u00e9e par IA \u00ab peut d\u00e9sormais rep\u00e9rer des bugs latents \u00e0 une vitesse qui d\u00e9passe m\u00eame les experts les plus chevronn\u00e9s du secteur \u00bb, et il ajoute que si votre firmware est ou a \u00e9t\u00e9 public, il faut \u00ab partir du principe qu’il est d\u00e9j\u00e0 lu par les attaquants comme par les d\u00e9fenseurs \u00bb (Bitcoin Magazine<\/a>).<\/p>

Beaucoup d’ing\u00e9nieurs en s\u00e9curit\u00e9 r\u00e9cusent cette lecture : le bug rel\u00e8ve d’une erreur humaine classique, une condition de pr\u00e9processeur mal \u00e9crite, pas d’une trouvaille que seule une machine pouvait faire. Mais l’intuition de fond d\u00e9range par sa justesse. Si des outils automatis\u00e9s savent d\u00e9sormais explorer des d\u00e9p\u00f4ts publics et faire remonter des failles dormantes plus vite que les humains, alors chaque ligne de code open source jamais publi\u00e9e devient un actif \u00e0 d\u00e9fendre en continu. Ido Ben-Natan, cofondateur et PDG de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Blockaid, replace la responsabilit\u00e9 au bon endroit : \u00ab La s\u00e9curit\u00e9 d’un portefeuille mat\u00e9riel se r\u00e9sume en fin de compte au firmware et aux syst\u00e8mes avec lesquels l’utilisateur interagit sans jamais les voir \u00bb (Forbes<\/a>). Cette bascule vers une s\u00e9curit\u00e9 assist\u00e9e par machine, que nous abordons aussi sous l’angle du calcul v\u00e9rifiable dans notre article sur l’IA v\u00e9rifiable et le restaking<\/a>, coupe dans les deux sens : elle arme autant les d\u00e9fenseurs que les pr\u00e9dateurs.<\/p>

Ce qu’un bon post-mortem fait quand m\u00eame<\/h2>

Le dossier Coldcard n’a peut-\u00eatre pas de coupable exploitable, mais il a un post-mortem, et il faut lui reconna\u00eetre ses qualit\u00e9s. Coinkite a publi\u00e9 un document technique d\u00e9taill\u00e9 expliquant la m\u00e9canique exacte du bug, a diffus\u00e9 des firmwares corrig\u00e9s pour toute la gamme, et a communiqu\u00e9 presque en temps r\u00e9el sur l’ampleur des d\u00e9g\u00e2ts. C’est la meilleure tradition du genre : celle des rapports post-incident sans recherche de bouc \u00e9missaire, celle qui a fait la r\u00e9putation de Bybit en 2025 quand son PDG Ben Zhou a choisi la transparence radicale, celle que consignent des archives comme le classement de rekt.news<\/a>.<\/p>

Cette culture a produit des institutions. Des collectifs de white hats comme SEAL 911 interviennent en urgence pendant les attaques ; des cadres comme le Safe Harbor de la Security Alliance offrent aux hackers repentis un retour balis\u00e9 des fonds contre une prime plafonn\u00e9e ; des enqu\u00eateurs on-chain retracent publiquement le cheminement des cryptoactifs vol\u00e9s. Tout cet appareillage suppose n\u00e9anmoins une chose que Coldcard n’a pas : un flux de fonds concentr\u00e9, attribuable, et un adversaire que l’on peut approcher ou dissuader. Dispers\u00e9e entre une douzaine d’acteurs et des milliers de victimes ind\u00e9pendantes, l’affaire \u00e9chappe \u00e0 ces outils autant qu’aux r\u00e9gulateurs.<\/p>

Mais la transparence n’est pas la restitution. Un excellent post-mortem qui n’aboutit \u00e0 aucun remboursement laisse les victimes exactement o\u00f9 elles \u00e9taient, plus les explications. C’est la limite structurelle de la garde personnelle : elle transf\u00e8re \u00e0 l’utilisateur non seulement la ma\u00eetrise, mais aussi le risque final, sans filet. Aucune assurance de d\u00e9p\u00f4t, aucun fonds de garantie n’entre en jeu. Les dispositifs d’assurance on-chain existent, et nous en avons d\u00e9taill\u00e9 les promesses et les limites dans notre analyse sur le slashing en cascade et la course \u00e0 l’assurance<\/a>, mais leurs paiements r\u00e9els restent minuscules au regard des pertes du secteur, et aucun ne couvre une graine faible g\u00e9n\u00e9r\u00e9e par un appareil personnel. Le post-mortem, ici, remplit une fonction morale et p\u00e9dagogique, pas \u00e9conomique.<\/p>

D\u00e9j\u00e0 vu : quand le hasard trahit<\/h2>

Le plus troublant, c’est que cette famille de failles n’est pas nouvelle. En ao\u00fbt 2013, une faiblesse du composant SecureRandom d’Android avait conduit plusieurs applications de portefeuille Bitcoin, dont Bitcoin Wallet, l’application de blockchain.info, BitcoinSpinner et Mycelium, \u00e0 r\u00e9utiliser la m\u00eame valeur \u00ab al\u00e9atoire \u00bb pour signer des transactions diff\u00e9rentes. Or, en Bitcoin, un tel nombre secret r\u00e9utilis\u00e9 permet de reconstituer la cl\u00e9 priv\u00e9e \u00e0 partir de donn\u00e9es publiques. Le projet Bitcoin avait alors publi\u00e9 une alerte officielle et recommand\u00e9 la seule parade valable : g\u00e9n\u00e9rer une nouvelle adresse avec un g\u00e9n\u00e9rateur d’al\u00e9a r\u00e9par\u00e9, puis d\u00e9placer les fonds (bitcoin.org<\/a>).<\/p>

Treize ans s\u00e9parent l’alerte Android du fiasco Coldcard, et pourtant la forme est identique : un al\u00e9a d\u00e9faillant, une cl\u00e9 devenue devinable, une rem\u00e9diation qui consiste \u00e0 tout r\u00e9g\u00e9n\u00e9rer et tout migrer. La le\u00e7on n’a rien de folklorique. La s\u00e9curit\u00e9 cryptographique repose enti\u00e8rement sur la qualit\u00e9 de l’al\u00e9a au moment de la cr\u00e9ation de la cl\u00e9, un instant unique, invisible, impossible \u00e0 corriger a posteriori. Chaque fois qu’un maillon (syst\u00e8me d’exploitation, biblioth\u00e8que logicielle, firmware) court-circuite en silence la source d’entropie, le m\u00eame d\u00e9sastre se reproduit. La crypto adore parler de math\u00e9matiques incassables ; ses accidents les plus co\u00fbteux viennent souvent, non des maths, mais de la plomberie qui les alimente.<\/p>

L’angle fran\u00e7ais : Ledger, la garde personnelle et un r\u00e9gulateur hors-jeu<\/h2>

Le dossier r\u00e9sonne particuli\u00e8rement en France, patrie de Ledger. Fond\u00e9e \u00e0 Paris en 2014, la soci\u00e9t\u00e9 est devenue le champion national du portefeuille mat\u00e9riel, avec des appareils vendus par millions dans le monde. Ses cadres se sont exprim\u00e9s, et pas seulement par opportunisme concurrentiel. Vincent Bouzon, expert en cybers\u00e9curit\u00e9 chez Ledger, a \u00e9nonc\u00e9 le principe qui manquait pr\u00e9cis\u00e9ment chez Coldcard : la g\u00e9n\u00e9ration de cl\u00e9s \u00ab doit \u00eatre ancr\u00e9e dans du mat\u00e9riel s\u00e9curis\u00e9, avec une architecture qui ne peut pas silencieusement se rabattre sur une source logicielle non fiable \u00bb (Forbes<\/a>). Toute la faille tient dans ce mot : silencieusement.<\/p>

Le directeur technique de Ledger, Charles Guillemet, a de son c\u00f4t\u00e9 mis en garde contre une r\u00e9action r\u00e9flexe. Apr\u00e8s l’incident, beaucoup d’utilisateurs se sont pr\u00e9cipit\u00e9s vers le multisig, persuad\u00e9s que multiplier les signatures r\u00e9glait le probl\u00e8me. Selon lui, tel que rapport\u00e9 par Decrypt<\/a> et sur le blog de Ledger<\/a>, le multisig n’est pas automatiquement la bonne r\u00e9ponse : sa complexit\u00e9 peut introduire de nouveaux risques au lieu d’\u00e9liminer les anciens, et pour la plupart des utilisateurs, un portefeuille \u00e0 signature unique correctement sauvegard\u00e9 reste le choix le plus raisonnable, \u00e9ventuellement compl\u00e9t\u00e9 par des outils comme Miniscript ou le standard MuSig2. Ce d\u00e9bat, nous l’avons diss\u00e9qu\u00e9 en d\u00e9tail dans notre checklist multisig 2026<\/a>. Andrew Lazutkin, directeur technique de Tangem, ajoute une nuance salutaire : un firmware open source \u00ab ne doit pas \u00eatre automatiquement assimil\u00e9 \u00e0 une meilleure s\u00e9curit\u00e9 \u00bb. L’ouverture aide \u00e0 auditer ; elle n’audite pas \u00e0 votre place.<\/p>

AMF, MiCA, DORA : personne n’est comp\u00e9tent<\/h2>

Une victime fran\u00e7aise de ce piratage se heurterait \u00e0 un vide juridique presque total. Le r\u00e8glement MiCA, dont la p\u00e9riode transitoire pour les prestataires de services sur actifs num\u00e9riques s’est achev\u00e9e le 1er juillet 2026 (AMF<\/a>), encadre les acteurs qui conservent ou \u00e9changent des cryptoactifs pour le compte de tiers. Or Coinkite ne conserve rien : la soci\u00e9t\u00e9 vend un objet, elle n’est pas un prestataire de services sur actifs num\u00e9riques. L’AMF n’a donc pas de prise sur elle.<\/p>

M\u00eame logique du c\u00f4t\u00e9 de la r\u00e9silience op\u00e9rationnelle. Le r\u00e8glement DORA impose aux entit\u00e9s financi\u00e8res r\u00e9gul\u00e9es un calendrier strict de d\u00e9claration des incidents (notification initiale sous quelques heures, rapport interm\u00e9diaire puis rapport final sous un mois), comme le d\u00e9taille le site de l’autorit\u00e9 europ\u00e9enne comp\u00e9tente<\/a>. Un fabricant de portefeuilles mat\u00e9riels n’entre pas dans ce p\u00e9rim\u00e8tre : aucun compte \u00e0 rendre, aucun d\u00e9lai impos\u00e9. La transparence de Coinkite fut un choix volontaire, pas une obligation l\u00e9gale. Il reste, en th\u00e9orie, le droit commun de la responsabilit\u00e9 du fait des produits d\u00e9fectueux et le droit de la consommation, du ressort en France de la DGCCRF et non de l’AMF. Mais ces voies sont lentes, co\u00fbteuses, et sans pr\u00e9c\u00e9dent connu pour ce type pr\u00e9cis de d\u00e9faillance. Le paradoxe est complet : la garde personnelle, que la logique r\u00e9glementaire encourage implicitement (vos cl\u00e9s, votre responsabilit\u00e9), tombe enti\u00e8rement hors du champ des r\u00e9gulateurs financiers. Le post-mortem sans coupable est aussi un post-mortem sans juge.<\/p>

Que faire si vous d\u00e9tenez un Coldcard<\/h2>

La marche \u00e0 suivre est simple \u00e0 \u00e9noncer, moins agr\u00e9able \u00e0 ex\u00e9cuter. D’abord, identifiez votre mod\u00e8le et la version de firmware utilis\u00e9e au moment o\u00f9 la graine a \u00e9t\u00e9 cr\u00e9\u00e9e. Si cette graine a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9e sur un firmware vuln\u00e9rable (Mk2 et Mk3 en 4.0.0 \u00e0 4.1.x, Mk4, Mk5 et Q sur les versions ant\u00e9rieures aux correctifs), consid\u00e9rez-la comme compromise, quelle que soit la prudence dont vous avez fait preuve depuis. Mettre \u00e0 jour ne suffit pas : le correctif emp\u00eache la cr\u00e9ation de futures graines faibles, mais ne r\u00e9pare pas une graine existante.<\/p>

  • G\u00e9n\u00e9rez une nouvelle graine sur un firmware corrig\u00e9, puis transf\u00e9rez l’int\u00e9gralit\u00e9 de vos fonds vers les nouvelles adresses, sans tarder.<\/li>
  • Si votre graine provient d’au moins 50 lancers de d\u00e9s ind\u00e9pendants, elle ne d\u00e9pendait pas du g\u00e9n\u00e9rateur de l’appareil et n’est pas concern\u00e9e par cette faille.<\/li>
  • V\u00e9rifiez syst\u00e9matiquement la signature des firmwares que vous installez, et n’installez que depuis la source officielle.<\/li>
  • Pour l’avenir, diversifiez vos sources d’entropie : combiner l’al\u00e9a mat\u00e9riel avec des lancers de d\u00e9s physiques est une ceinture et des bretelles peu co\u00fbteuses.<\/li>
  • Ne r\u00e9agissez pas dans la panique en empilant des dispositifs complexes que vous ma\u00eetrisez mal ; un montage sophistiqu\u00e9 mais mal compris est souvent moins s\u00fbr qu’un montage simple bien ex\u00e9cut\u00e9.<\/li><\/ul>

    Au-del\u00e0 du geste technique, il y a une hygi\u00e8ne de fond. La garde personnelle reste, pour l’immense majorit\u00e9 des d\u00e9tenteurs, plus s\u00fbre que de laisser ses cryptoactifs sur une plateforme. Mais elle exige de comprendre que la s\u00e9curit\u00e9 ne s’arr\u00eate pas \u00e0 la phrase de r\u00e9cup\u00e9ration not\u00e9e sur un bout de papier : elle descend jusqu’\u00e0 la qualit\u00e9 de l’al\u00e9a qui a produit cette phrase, une couche que l’utilisateur ne voit jamais et sur laquelle il place pourtant une confiance absolue.<\/p>

    Frequently Asked Questions<\/h2>

    Mon Coldcard est-il concern\u00e9 par la faille ?<\/h3>

    Tout appareil dont la graine a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9e sur un firmware vuln\u00e9rable est potentiellement expos\u00e9 : Mk2 et Mk3 en versions 4.0.0 \u00e0 4.1.x, ou Mk4, Mk5 et Q sur les versions ant\u00e9rieures aux correctifs. Les graines cr\u00e9\u00e9es \u00e0 partir d’au moins 50 lancers de d\u00e9s ind\u00e9pendants ne d\u00e9pendaient pas du g\u00e9n\u00e9rateur de l’appareil et ne sont pas concern\u00e9es. En cas de doute, consid\u00e9rez la graine comme compromise et migrez vos fonds.<\/p>

    Mettre \u00e0 jour le firmware suffit-il \u00e0 me prot\u00e9ger ?<\/h3>

    Non. Le correctif emp\u00eache la g\u00e9n\u00e9ration de nouvelles graines faibles, mais il ne r\u00e9pare pas une graine d\u00e9j\u00e0 cr\u00e9\u00e9e avec une entropie insuffisante. La seule parade est de g\u00e9n\u00e9rer une nouvelle graine sur un firmware corrig\u00e9, puis de transf\u00e9rer l’int\u00e9gralit\u00e9 des fonds vers les nouvelles adresses.<\/p>

    Combien a \u00e9t\u00e9 vol\u00e9 au total ?<\/h3>

    Le montant est une cible mouvante. La premi\u00e8re vague a vid\u00e9 1 196 adresses en 41 minutes le 30 juillet ; au 4 ao\u00fbt, plusieurs soci\u00e9t\u00e9s d’analyse on-chain \u00e9valuaient le butin \u00e0 plus de 130 millions de dollars, soit plus de 113 millions d’euros, sur plus de 5 200 adresses. Comme le correctif ne s\u00e9curise pas les graines d\u00e9j\u00e0 g\u00e9n\u00e9r\u00e9es, ce total peut encore augmenter.<\/p>

    Qui va rembourser les victimes ?<\/h3>

    Personne n’a annonc\u00e9 de plan d’indemnisation. Coinkite, le fabricant, aide les utilisateurs \u00e0 migrer mais n’a pas propos\u00e9 de compensation, et une petite soci\u00e9t\u00e9 mat\u00e9rielle n’a pas les moyens d’\u00e9ponger plus de 113 millions d’euros. Aucun r\u00e9gulateur, ni l’AMF ni le cadre MiCA, n’a comp\u00e9tence sur un fabricant de portefeuilles mat\u00e9riels, qui n’est pas un prestataire de services sur actifs num\u00e9riques.<\/p>

    Un portefeuille mat\u00e9riel reste-t-il plus s\u00fbr qu’un portefeuille logiciel ?<\/h3>

    Pour la grande majorit\u00e9 des utilisateurs, oui : un portefeuille mat\u00e9riel bien sauvegard\u00e9 isole les cl\u00e9s d’un ordinateur connect\u00e9. Le cas Coldcard rappelle toutefois que la s\u00e9curit\u00e9 d\u00e9pend du firmware et de la qualit\u00e9 du g\u00e9n\u00e9rateur d’al\u00e9a, des couches invisibles pour l’utilisateur. Diversifier les sources d’entropie et v\u00e9rifier les signatures du firmware r\u00e9duisent nettement ce risque.<\/p>