Coldcard : faille firmware vide 88 M$ de Bitcoin en 3 jours

Un bug de RNG dormant cinq ans vide 4 585 portefeuilles Bitcoin en trois vagues automatisées

Dans la nuit du 30 au 31 juillet 2026, des attaquants ont orchestré l'une des plus vastes opérations de vol de cryptomonnaies jamais menées contre des portefeuilles matériels. En seulement 41 minutes, 1 082,65 BTC ont été siphonnés depuis 1 196 adresses Bitcoin vers des wallets contrôlés par les assaillants, soit près de 70,2 millions de dollars au cours du moment. Sur trois jours, le préjudice total a grimpé à 88 millions de dollars. À l'origine de ce désastre : un Coldcard firmware bug Bitcoin affectant la génération d'entropie des clés privées, transformant en quelques heures des dispositifs réputés inviolables en coffres grands ouverts. Cet incident rappelle brutalement qu'un portefeuille matériel, aussi robuste soit-il, reste tributaire de la qualité de son code embarqué et de la rigueur de son processus de mise à jour.

La cause racine de cette compromission massive réside dans un bug de firmware affectant les portefeuilles matériels Coldcard Mk3. Coinkite, le fabricant canadien de Coldcard, confirme qu'une régression introduite dans la version firmware 4.0.1 (publiée en mars 2021) a provoqué une dérivation silencieuse du processus de génération d'entropie lors de la création des seeds (phrases de récupération) des portefeuilles. Au lieu de solliciter le générateur de nombres aléatoires matériel (HRNG) du composant Microchip ATECC608, le firmware redirige l'appel vers un générateur logiciel (PRNG) disposant d'une entropie significativement réduite.

En cryptographie des portefeuilles, la qualité de l'entropie lors de la génération du seed BIP39 est fondamentale. Un seed BIP39 de 24 mots représente normalement 256 bits d'entropie, ce qui rend le brute-force computationnellement impossible. Mais si l'entropie effective est réduite par un PRNG prévisible, l'espace des seeds possibles se réduit drastiquement. Les chercheurs de Coinkite et de plusieurs équipes indépendantes, dont SeedSigner Research et Kraken Security Labs, ont établi que l'entropie produite par le PRNG défectueux était suffisamment faible pour être parcourue avec des ressources de calcul modernes, permettant la reconstruction des clés privées depuis les adresses publiques observées on-chain.

Les adresses Bitcoin étant publiques par nature sur la blockchain, les attaquants ont pu identifier les portefeuilles générés sur des Coldcard Mk3 affectés en analysant les métadonnées de transactions : patterns de dérivation BIP44/BIP49, format spécifique des transactions signées, utilisation caractéristique des coinjoins. En croisant ces données avec leurs seeds précalculés, ils ont constitué un catalogue de cibles. Cette phase de reconnaissance préalable, probablement menée pendant plusieurs semaines, explique la précision chirurgicale de l'attaque du 30 juillet.

La deuxième vague, le 31 juillet, a drainé 76,16 BTC supplémentaires depuis 1 478 nouvelles adresses. Une troisième vague, identifiée le 1er août, a emporté 207,73 BTC depuis 1 912 adresses additionnelles. Ces vagues successives suggèrent que les attaquants disposaient d'un catalogue de seeds vulnérables plus large qu'initialement estimé, et procédaient par lots pour éviter une détection rapide par les exchanges. Le total cumulé des trois vagues s'établit à 1 367,05 BTC, dépassant 88,6 millions de dollars selon les cours au 2 août 2026.

Coinkite a publié un bulletin d'urgence le 31 juillet, confirmant la vulnérabilité et précisant les versions affectées : firmware Coldcard Mk3 versions 4.0.1 à 4.1.9. Les versions Coldcard Mk4 et Q ne sont pas affectées, ayant bénéficié d'une réécriture complète de la couche cryptographique lors de leur développement en 2022. Les utilisateurs de Coldcard Mk3 qui ont créé ou restauré un wallet sous les versions firmware incriminées sont invités à considérer leurs fonds potentiellement compromis, même en l'absence d'activité suspecte à ce stade.

L'analyse blockchain réalisée par Chainalysis et Arkham Intelligence indique que les BTC volés ont été fragmentés en centaines de micro-transactions avant d'être agrégés sur plusieurs wallets intermédiaires. Une partie des fonds a déjà transité par des exchanges décentralisés et des protocoles de mixing, compliquant leur traçabilité. Les autorités américaines (FBI) et canadiennes (GRC) ont ouvert des enquêtes conjointes, mais les experts en criminalistique blockchain prévoient que le recouvrement des fonds sera extrêmement difficile compte tenu de la sophistication du schéma d'obfuscation employé.

Ce qui rend particulièrement troublant cet incident, c'est la durée de la fenêtre de vulnérabilité : cinq années séparent l'introduction du bug (mars 2021) de son exploitation à grande échelle (juillet 2026). Pendant cette période, des milliers de portefeuilles ont été créés avec une entropie insuffisante, sans que leurs propriétaires ni Coinkite n'aient identifié le problème. La question de savoir si la vulnérabilité était connue de certains acteurs avant la divulgation publique reste ouverte et fait l'objet d'une investigation active par les autorités.

Un incident qui repose la question fondamentale de la confiance dans les hardware wallets

Les hardware wallets comme Coldcard, Ledger ou Trezor sont généralement présentés comme la solution de sécurité ultime pour les détenteurs de cryptomonnaies. Leur proposition de valeur repose sur l'isolation des clés privées dans un composant sécurisé, à l'abri des malwares et des accès distants. Le modèle de menace des hardware wallets suppose explicitement que le composant de génération d'entropie est fiable. L'incident Coldcard illustre de manière brutale que cette hypothèse peut être invalidée par une régression de firmware — et que l'impact d'une telle défaillance peut n'apparaître que des années plus tard, quand les ressources de calcul nécessaires pour l'exploiter deviennent accessibles.

Cet incident rappelle le précédent de la vulnérabilité ROCA (Return of Coppersmith's Attack) de 2017, qui avait affecté les puces Infineon TPM et smartcard utilisées pour la génération de clés RSA. ROCA avait démontré qu'un défaut dans la génération de nombres premiers pouvait permettre la reconstruction de clés privées RSA 1024 et 2048 bits depuis la clé publique, affectant des millions de cartes d'identité électroniques, cartes Yubikey et modules TPM d'entreprises. La similitude structurelle est frappante : une faiblesse cryptographique introduite dans un composant de confiance, non détectée pendant des années, dont l'exploitation devient possible quand un acteur réunit les ressources nécessaires.

Pour l'écosystème crypto, cet incident va alimenter les débats sur les pratiques d'audit de sécurité des firmwares de hardware wallets. Contrairement aux logiciels d'entreprise soumis à des programmes de bug bounty actifs et des audits récurrents, les firmwares de hardware wallets font l'objet d'une vérification externe moins systématique. Certains projets comme Foundation Passport et Keystone ont adopté une approche entièrement open-source pour leurs firmwares, permettant une vérification communautaire continue. La communauté Bitcoin devrait logiquement exiger des standards d'audit plus stricts, notamment des tests de robustesse cryptographique automatisés à chaque release de firmware.

Sur le plan réglementaire, aucun cadre européen n'impose à ce jour des exigences de sécurité spécifiques aux hardware wallets. Le Cyber Resilience Act (CRA), dont l'application complète est prévue pour fin 2027, s'appliquera aux produits avec éléments numériques et devrait imposer des exigences de gestion des vulnérabilités et de mises à jour sécurisées. Si ces obligations avaient été en vigueur en 2021, elles auraient pu forcer des tests de régression cryptographique plus rigoureux lors de la release du firmware 4.0.1 — permettant potentiellement une détection précoce du bug de RNG avant que des milliers de wallets ne soient créés avec une entropie insuffisante.

Ce qu'il faut retenir

• Les Coldcard Mk3 avec firmware 4.0.1 à 4.1.9 sont affectés : les wallets créés sous ces versions doivent être considérés compromis — transférez vos fonds immédiatement vers un nouveau portefeuille sécurisé.
• Les Coldcard Mk4 et Q ne sont pas vulnérables ; les utilisateurs de Mk3 hors de la plage 4.0.1-4.1.9 doivent vérifier leur version exacte sur le bulletin officiel Coinkite.
• Cet incident démontre qu'un bug dormant de génération d'entropie peut compromettre rétroactivement tous les wallets créés pendant la période d'exposition — même des années après la correction.