Le pire d\u00e9sastre de portefeuille mat\u00e9riel de l’\u00e9t\u00e9 2026 n’a pas commenc\u00e9 par un e-mail pi\u00e9g\u00e9, ni par une signature aveugle, ni par une cl\u00e9 \u00e0 molette. Le 30 juillet, des Bitcoin ont commenc\u00e9 \u00e0 quitter des milliers d’adresses Coldcard, des appareils r\u00e9put\u00e9s pour rester hors ligne, coup\u00e9s d’Internet, entre les mains de d\u00e9tenteurs souvent chevronn\u00e9s. Personne n’avait cliqu\u00e9 sur rien. Personne n’avait rien sign\u00e9. Et pourtant, les fonds partaient.<\/p>
La raison n’\u00e9tait pas une cl\u00e9 vol\u00e9e, mais une cl\u00e9 qui n’avait jamais vraiment \u00e9t\u00e9 secr\u00e8te. G\u00e9n\u00e9r\u00e9e des ann\u00e9es plus t\u00f4t avec trop peu de hasard, elle \u00e9tait devinable pour quiconque connaissait la faille. C’est une cat\u00e9gorie \u00e0 part de compromission de cl\u00e9s priv\u00e9es : non pas un vol, mais un d\u00e9faut de naissance. Chez HOGE Wire, nous avons d\u00e9j\u00e0 diss\u00e9qu\u00e9 le versant vol, de la signature aveugle au casse par ing\u00e9nierie sociale<\/a>. Ce dossier porte sur le coin le plus ancien et le plus silencieux du probl\u00e8me : l’entropie rat\u00e9e.<\/p> De l’alerte Android de 2013 au fiasco Coldcard de 2026, la m\u00eame erreur revient sans cesse : un g\u00e9n\u00e9rateur de nombres al\u00e9atoires qui n’en est pas un. Voici ce qu’est r\u00e9ellement l’entropie d’une cl\u00e9, pourquoi on ne peut pas la corriger apr\u00e8s coup, et comment produire une cl\u00e9 qui soit, elle, r\u00e9ellement impossible \u00e0 deviner.<\/p> Une cl\u00e9 priv\u00e9e est compromise d\u00e8s lors qu’un tiers en prend le contr\u00f4le. La voie la plus connue est le vol : hame\u00e7onnage, logiciel malveillant, signature d’une transaction trafiqu\u00e9e, ou coercition physique. Toutes ces attaques ont un point commun : l’adversaire doit atteindre votre secret, l\u00e0 o\u00f9 il se trouve. Votre hygi\u00e8ne compte, votre appareil compte, votre vigilance compte.<\/p> La compromission par faiblesse d’entropie fonctionne \u00e0 l’envers. L’attaquant n’a pas besoin d’approcher votre appareil, ni de vous pi\u00e9ger, ni m\u00eame de savoir que vous existez. Il lui suffit de savoir que le g\u00e9n\u00e9rateur qui a produit votre cl\u00e9 puisait dans un r\u00e9servoir de hasard trop maigre, puis de balayer ce r\u00e9servoir avec quelques cartes graphiques. La cl\u00e9 n’est pas d\u00e9rob\u00e9e : elle est recalcul\u00e9e. Contre ce mode op\u00e9ratoire, ni la plaque en acier grav\u00e9e, ni la phrase de passe suppl\u00e9mentaire, ni l’isolation totale de l’appareil ne servent \u00e0 rien. Le mal \u00e9tait d\u00e9j\u00e0 fait au moment de la g\u00e9n\u00e9ration.<\/p> C’est ce qui rend cette famille d’incidents si d\u00e9routante pour les victimes. Elles ont, en apparence, tout bien fait : stockage \u00e0 froid, sauvegarde de la phrase de r\u00e9cup\u00e9ration, appareil d\u00e9di\u00e9. Le probl\u00e8me est qu’un seul maillon a l\u00e2ch\u00e9 en amont de tout le reste, invisible et ant\u00e9rieur \u00e0 la moindre bonne pratique : la qualit\u00e9 du hasard. Et ce maillon ne se voit pas \u00e0 l’usage. Une cl\u00e9 faible signe des transactions, re\u00e7oit des fonds et affiche une adresse tout \u00e0 fait normale, jusqu’au jour o\u00f9 quelqu’un la devine.<\/p> L’affaire Coldcard a remis le sujet sous les projecteurs. Selon TRM Labs<\/a>, pr\u00e8s de 1 816 BTC, soit environ 116 millions de dollars (de l’ordre de 100 millions d’euros), ont \u00e9t\u00e9 siphonn\u00e9s de plus de 5 200 adresses, en quatre vagues successives \u00e0 partir du 30 juillet 2026. La premi\u00e8re vague a suffi \u00e0 drainer plus d’un millier d’adresses en une quarantaine de minutes, d’apr\u00e8s The Hacker News<\/a>. Galaxy Research et TechCrunch<\/a> ont \u00e9voqu\u00e9 un total pouvant atteindre 130 millions de dollars si une quatri\u00e8me vague se confirme.<\/p> La cause racine n’a rien d’un piratage spectaculaire. Une erreur de configuration dans le microprogramme (firmware) version 4.0.1, publi\u00e9 en mars 2021, v\u00e9rifiait si le g\u00e9n\u00e9rateur d’al\u00e9a mat\u00e9riel de l’appareil \u00e9tait d\u00e9fini, mais pas s’il \u00e9tait r\u00e9ellement activ\u00e9. R\u00e9sultat : sur les appareils concern\u00e9s, la g\u00e9n\u00e9ration de graine retombait sur un g\u00e9n\u00e9rateur logiciel de secours, bien plus pr\u00e9visible. L’entropie r\u00e9elle s’effondrait des 128 bits attendus vers quelques dizaines de bits seulement, une plage que des machines modernes parcourent sans difficult\u00e9. Autrement dit, la cl\u00e9 pouvait \u00eatre reconstitu\u00e9e \u00e0 distance, sans jamais toucher l’appareil hors ligne.<\/p> Le plus cruel tient dans la rem\u00e9diation. Comme l’a r\u00e9sum\u00e9 TRM Labs, \u00abmettre \u00e0 jour le firmware corrige le probl\u00e8me pour les futurs portefeuilles, mais ne prot\u00e8ge pas les portefeuilles dont la graine a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9e sous le firmware vuln\u00e9rable\u00bb. Une cl\u00e9 produite en 2021 avec trop peu de hasard reste faible pour toujours. Aucune mise \u00e0 jour ne peut r\u00e9troactivement lui rendre l’al\u00e9a qu’elle n’a jamais eu. Les d\u00e9tenteurs concern\u00e9s n’avaient qu’une option : transf\u00e9rer leurs fonds vers une cl\u00e9 neuve, g\u00e9n\u00e9r\u00e9e correctement, et esp\u00e9rer arriver avant les attaquants. L’argument marketing du portefeuille hors ligne, cens\u00e9 \u00eatre imprenable, s’est retourn\u00e9 : l’isolation n’a servi \u00e0 rien, puisque rien n’a eu besoin d’atteindre l’appareil.<\/p> Une cl\u00e9 priv\u00e9e Bitcoin ou Ethereum est, au fond, un nombre de 256 bits. Tir\u00e9 parfaitement au hasard, ce nombre a 2^256 valeurs possibles, un espace si vaste qu’il d\u00e9passe le nombre d’atomes dans l’univers observable. Balayer cet espace par force brute est physiquement impossible, et le restera m\u00eame face aux ordinateurs classiques les plus puissants. C’est ce qui fonde toute la s\u00e9curit\u00e9 de l’auto-conservation : personne ne peut deviner un nombre correctement al\u00e9atoire de 256 bits.<\/p> Le mot d\u00e9cisif est \u00abcorrectement\u00bb. L’entropie mesure l’impr\u00e9visibilit\u00e9 r\u00e9elle derri\u00e8re ce nombre, c’est-\u00e0-dire la taille du r\u00e9servoir dans lequel il a \u00e9t\u00e9 puis\u00e9. Si le g\u00e9n\u00e9rateur ne tire en pratique que dans un ensemble de 2^32 possibilit\u00e9s, environ 4,3 milliards, l’espace th\u00e9orique de 2^256 ne sert \u00e0 rien : une seule carte graphique parcourt 4,3 milliards de candidats en quelques minutes. Ce qui compte n’est pas la longueur de la cl\u00e9 sur le papier, mais l’entropie disponible au moment de la g\u00e9n\u00e9ration.<\/p> La norme BIP-39<\/a>, qui r\u00e9git les phrases de r\u00e9cup\u00e9ration de 12 \u00e0 24 mots, exige entre 128 et 256 bits d’entropie. Une phrase de 12 mots encode 128 bits, une phrase de 24 mots en encode 256. Tout l’enjeu tient dans l’\u00e9cart entre une cl\u00e9 qui \u00abressemble\u00bb \u00e0 256 bits et une cl\u00e9 qui ne dispose en r\u00e9alit\u00e9 que de 32 bits d’impr\u00e9visibilit\u00e9. C’est pr\u00e9cis\u00e9ment dans cet \u00e9cart que se logent, un \u00e0 un, tous les d\u00e9sastres que nous allons parcourir.<\/p> Une image aide \u00e0 saisir l’enjeu. Imaginez un cadenas \u00e0 combinaison affichant seize roues de chiffres : sur le papier, le nombre de combinaisons est astronomique. Mais si le fabricant, par erreur, bloque quatorze de ces roues sur z\u00e9ro et n’en laisse tourner que deux, il ne reste que cent combinaisons \u00e0 essayer, quel que soit l’aspect imposant du cadenas. Une cl\u00e9 priv\u00e9e fonctionne de la m\u00eame fa\u00e7on : sa longueur affich\u00e9e ne dit rien du nombre de valeurs r\u00e9ellement atteignables. Un g\u00e9n\u00e9rateur d\u00e9faillant, c’est le fabricant qui bloque les roues. Le voleur n’a pas besoin de crocheter la serrure ; il lui suffit de conna\u00eetre le d\u00e9faut d’usine et d’essayer les combinaisons restantes.<\/p> Un m\u00eame coupable revient dans la plupart de ces affaires : le Mersenne Twister, alias mt19937. C’est un g\u00e9n\u00e9rateur pseudo-al\u00e9atoire (PRNG) rapide et statistiquement excellent, parfait pour une simulation scientifique ou un jeu vid\u00e9o. Il a un d\u00e9faut r\u00e9dhibitoire pour la cryptographie : il est d\u00e9terministe et se r\u00e9amorce \u00e0 partir d’une seule graine de 32 bits. Qui conna\u00eet la graine reproduit toute la suite. L’employer pour fabriquer des cl\u00e9s revient \u00e0 r\u00e9duire tout l’espace \u00e0 environ 4 milliards de possibilit\u00e9s.<\/p> La distinction cruciale oppose un PRNG ordinaire \u00e0 un CSPRNG, un g\u00e9n\u00e9rateur pseudo-al\u00e9atoire \u00e0 vocation cryptographique. Le second (comme getrandom sur Linux ou l’interface syst\u00e8me \u00e9quivalente) puise dans un r\u00e9servoir d’entropie aliment\u00e9 par du bruit physique et reste impr\u00e9visible m\u00eame si l’on observe une partie de sa sortie. Le premier, non. Le Ledger Donjon, laboratoire de s\u00e9curit\u00e9 de Ledger, l’a formul\u00e9 sans d\u00e9tour \u00e0 propos de l’un de ces incidents : \u00able PRNG utilis\u00e9 est un Mersenne Twister, et il ne devrait pas \u00eatre employ\u00e9 \u00e0 des fins cryptographiques ; mt19937 prend une unique valeur de 32 bits comme graine d’entr\u00e9e\u00bb.<\/p> Cette erreur a la vie dure. Elle ressurgit d’une ann\u00e9e sur l’autre, dans des outils diff\u00e9rents, \u00e9crits par des \u00e9quipes diff\u00e9rentes, comme une m\u00eame faille qui frappe deux fois<\/a>. La raison est presque culturelle : le mt19937 est la fonction de hasard par d\u00e9faut dans d’innombrables biblioth\u00e8ques et langages, celle vers laquelle un d\u00e9veloppeur press\u00e9 se tourne par r\u00e9flexe. Dans un jeu, c’est sans cons\u00e9quence. Dans un portefeuille, c’est une porte laiss\u00e9e grande ouverte.<\/p> Le tableau ci-dessous rassemble les principaux \u00e9pisodes document\u00e9s o\u00f9 des cl\u00e9s ont \u00e9t\u00e9 compromises non par vol, mais par faiblesse du hasard \u00e0 la g\u00e9n\u00e9ration. Les montants sont ceux rapport\u00e9s par les sources au moment des faits ; pour les cas anciens, ils sont exprim\u00e9s dans la devise d’origine.<\/p>Devin\u00e9e, pas vol\u00e9e : une compromission d\u00e8s la naissance<\/h2>
Coldcard, l’\u00e9tincelle de 2026<\/h2>
Ce que \u00ab entropie \u00bb veut vraiment dire<\/h2>
Le p\u00e9ch\u00e9 \u00e0 32 bits : le Mersenne Twister qui ne meurt jamais<\/h2>
Quinze ans de cl\u00e9s faibles<\/h2>