Le hack Coldcard s’aggrave. Depuis le 30 juillet 2026, des pirates vident les portefeuilles physiques du fabricant canadien Coinkite. Au 4 août, la société d’analyse Galaxy Research chiffre les pertes confirmées à plus de 100 millions de dollars. Le décompte atteint 1 596 bitcoins dérobés sur environ 7 300 adresses.
Un pillage en plusieurs vagues successives
L’attaque avance par salves. La première a vidé des centaines de portefeuilles en moins d’une heure. Les suivantes ont élargi la cible à plusieurs milliers d’adresses. Galaxy Research identifie trois vagues confirmées, complétées par quatorze incidents plus modestes. Le préjudice suspecté grimperait à 2 055 BTC, soit près de 130 millions de dollars, si une quatrième vague se confirme. Le bilan publié par Cryptotimes le 4 août détaille ce décompte. L’attaque reste ouverte à cette date. Coinkite a détruit son stock de portefeuilles restants, d’après The Record.
Une faille de hasard, pas une faille de Bitcoin
L’origine : un générateur défaillant depuis 2021
Point technique important, rassurant sur le fond. La faille n’affecte pas le protocole Bitcoin. Elle vient d’un générateur de nombres aléatoires défaillant. Un correctif de firmware de mars 2021 a remplacé le générateur matériel par une solution logicielle faible. Les graines produites n’offraient plus que 72 bits d’entropie, au lieu des 128 attendus, selon l’avis de sécurité de Coinkite. Ce déficit rend les clés reconstituables par force brute.
Une attaque sans contact physique
Les pirates n’ont jamais touché les appareils. Ils ont généré des graines candidates, dérivé les adresses correspondantes, puis vérifié les soldes sur la blockchain publique. Cette méthode explique la vitesse du pillage. Aucune interaction avec la victime n’était nécessaire. Générer une graine sur un firmware vulnérable suffisait à exposer les fonds. Les modèles Mk3, Mk4, Mk5 et Q figurent parmi les versions touchées. Coinkite appelle les détenteurs à mettre à jour le firmware, à générer une nouvelle graine et à migrer leurs fonds.
Auto-conservation : le débat relancé
Le piratage Coldcard relance le débat sur l’auto-conservation. Cette pratique consiste à détenir soi-même ses cryptos, sans plateforme. Elle passait pour la plus sûre. L’affaire montre sa dépendance à un maillon logiciel. Un portefeuille physique ne protège pas d’un défaut de conception. La sécurité repose sur des procédés vérifiables et transparents. Elle exige aussi une hygiène rigoureuse dès l’étape d’ouverture d’un portefeuille crypto. Les graines créées avec des jets de dés ou une phrase secrète forte restaient protégées.
Le signal : voler est plus simple que dépenser
Un fait tempère l’ampleur du vol. Environ 90 % des bitcoins dérobés n’ont pas bougé. Les fonds volés restent visibles et traçables en temps réel sur la blockchain. Cette transparence complique leur écoulement par les pirates. Les enquêteurs suivent les adresses suspectes bloc après bloc. Toute conversion en monnaie classique laisse une trace. Sur Bitcoin, voler est plus simple que dépenser sans être repéré. Ce principe rejoint les règles de sécurité crypto face aux attaques ciblées. Il éclaire aussi les tensions entre garde des cryptos et contrôle.
Ce que le hack Coldcard change pour les investisseurs
L’épisode nourrit un climat déjà prudent. Le marché crypto traverse un été sans direction. Le vol n’a pourtant pas provoqué de décrochage. Le bitcoin évolue autour de 62 700 dollars ce 4 août, sans contagion visible. Un choc de confiance sur l’auto-conservation tombe malgré tout mal. Les plateformes régulées y trouvent un argument. En France, le statut PSAN encadre les prestataires sur actifs numériques. CrypCool opère sous ce cadre, enregistré auprès de l’AMF sous le numéro E2023-096. La garde des clés reste toutefois un choix personnel. Chaque détenteur arbitre entre autonomie et délégation. L’affaire Coldcard rappelle le coût réel de cette autonomie.
FAQ
Le hack Coldcard concerne-t-il le protocole Bitcoin ?
Non. La faille vient d’un générateur de nombres aléatoires défaillant, introduit par un firmware de mars 2021. Les graines n’offraient que 72 bits d’entropie au lieu de 128. Le protocole Bitcoin n’est pas en cause.
Combien de bitcoins ont été volés dans le hack Coldcard ?
Galaxy Research recense 1 596 BTC dérobés sur environ 7 300 adresses au 4 août 2026, soit plus de 100 millions de dollars. Le préjudice pourrait atteindre 2 055 BTC, près de 130 millions, si une quatrième vague se confirme.
Que doivent faire les détenteurs de Coldcard ?
Coinkite recommande de mettre à jour le firmware, de générer une nouvelle graine et de migrer les fonds. Les graines créées avec des jets de dés ou une phrase secrète forte restaient protégées.