L’exploitation d’une faille affectant les portefeuilles Coldcard aurait déjà permis le vol de plus de 1 300 bitcoins, représentant environ 83 millions de dollars, depuis des milliers d’adresses. Les retraits se seraient produits en plusieurs vagues, faisant de cet incident l’un des échecs les plus importants de l’autoconservation dans l’histoire de Bitcoin.
Au-delà des pertes financières, l’affaire relance un débat central pour l’écosystème : dans quelle mesure un utilisateur ordinaire peut-il réellement vérifier la sécurité du matériel et des logiciels qu’il utilise ?
Pour Jameson Lopp, chercheur en sécurité Bitcoin et cofondateur de Casa, la faille ne remet pas en cause la valeur de l’autoconservation. Elle montre toutefois les limites pratiques du principe « ne faites pas confiance, vérifiez », souvent présenté comme l’un des fondements de Bitcoin.
Plus de 1 300 BTC auraient été volés
Selon la source, plus de 1 300 BTC auraient été retirés de milliers d’adresses liées à des appareils affectés.
La valeur estimée des pertes atteindrait environ 83 millions de dollars.
Les vols se seraient produits en plusieurs vagues. Des chercheurs spécialisés dans la blockchain continuaient encore à détecter de nouveaux mouvements plusieurs jours après la divulgation publique de la vulnérabilité.
Alex Thorn, responsable de la recherche chez Galaxy Digital, évoquait même une possible quatrième vague de vols au dimanche suivant la révélation.
L’ampleur de l’incident montre qu’une vulnérabilité introduite dans un produit d’autoconservation peut rester invisible pendant plusieurs années avant d’être exploitée à grande échelle.
La vulnérabilité remontait à 2021
La faille aurait été introduite en 2021 dans le processus utilisé par Coldcard pour générer les seeds des portefeuilles.
Une seed, ou phrase de récupération, permet de recréer les clés privées qui contrôlent les bitcoins d’un utilisateur.
Le problème aurait réduit l’entropie utilisée pour produire ces seeds. L’entropie mesure le niveau d’aléa employé pendant la génération d’une clé.
Une entropie insuffisante réduit le nombre de combinaisons possibles. Elle peut donc permettre à un attaquant de tester les possibilités jusqu’à retrouver une seed valide.
Dans ce cas, les attaquants auraient pu mener des attaques par force brute contre les portefeuilles affectés sans avoir besoin de toucher physiquement les appareils.
Cette caractéristique rend la faille particulièrement grave. Un portefeuille matériel est censé protéger les clés même lorsque l’ordinateur de l’utilisateur est compromis. Ici, la faiblesse se trouvait dans la création même de ces clés.
« Ne faites pas confiance, vérifiez » reste difficile à appliquer
Jameson Lopp estime que le principe reste valable, mais qu’il est irréaliste d’attendre de la grande majorité des utilisateurs qu’ils vérifient personnellement chaque élément technique.
Selon lui, l’audit de logiciels et de matériels complexes n’est pas faisable pour 99,9 % de la population.
La plupart des utilisateurs ne disposent ni des connaissances ni du temps nécessaires pour examiner le code source, évaluer la génération aléatoire, analyser le firmware et tester le comportement d’un portefeuille matériel.
Ils dépendent donc nécessairement de tiers.
Ces tiers peuvent être le fabricant de l’appareil, les développeurs du logiciel, des chercheurs en sécurité ou des membres reconnus de la communauté.
L’utilisateur ne supprime pas complètement la confiance. Il la déplace vers des personnes ou des organisations qu’il suppose capables d’avoir effectué les vérifications nécessaires.
L’autoconservation ne supprime pas toute confiance
L’un des arguments majeurs en faveur de Bitcoin est la possibilité de détenir directement ses actifs sans intermédiaire financier.
Cependant, contrôler personnellement ses clés ne signifie pas que l’utilisateur maîtrise chaque couche technologique.
Il doit souvent faire confiance au fabricant pour la conception du matériel, aux développeurs pour le firmware et aux chercheurs pour identifier les failles.
Lopp souligne que l’objectif ne devrait pas être de faire confiance à un seul composant.
Un utilisateur ne devrait pas dépendre entièrement d’un seul fabricant, d’un seul logiciel ou d’une seule méthode de sauvegarde.
La sécurité devient alors une question de réduction et de diversification des hypothèses de confiance.
L’incident ne signifie pas la fin de l’autoconservation
Zach Herbert, cofondateur et directeur général de Foundation, a également rejeté l’idée selon laquelle la faille Coldcard prouverait l’échec de l’autoconservation.
Selon lui, conclure que l’autoconservation est morte serait dangereux.
L’incident devrait plutôt encourager l’industrie à renforcer ses pratiques de sécurité.
Cette distinction est importante. Le problème ne concerne pas nécessairement le principe selon lequel les utilisateurs peuvent contrôler directement leurs bitcoins.
Il concerne une implémentation défaillante dans un produit particulier.
La réaction appropriée consiste donc à améliorer la conception, les audits et les procédures de protection, plutôt qu’à abandonner entièrement l’autoconservation.
L’autoconservation implique une responsabilité réelle
Lopp rappelle que l’autoconservation est accessible à toute personne prête à accepter les responsabilités qui l’accompagnent.
Ces responsabilités incluent la protection de la seed, le suivi des alertes de sécurité, l’installation des mises à jour et la préparation d’un plan de récupération.
Elles comprennent aussi le choix du matériel et des logiciels utilisés.
Un utilisateur qui contrôle ses propres clés ne peut pas compter sur une banque pour annuler une transaction frauduleuse.
Une fois que les bitcoins ont été transférés et que la transaction est confirmée, la récupération est généralement impossible.
L’autonomie offerte par l’autoconservation s’accompagne donc d’un niveau de risque opérationnel plus élevé pour l’utilisateur.
La diversification peut réduire les risques
La principale leçon avancée par Lopp est qu’aucun élément ne devrait être considéré comme parfaitement fiable.
Une stratégie plus robuste peut consister à éviter de concentrer toute la sécurité sur un seul appareil ou un seul fournisseur.
Des configurations utilisant plusieurs clés ou plusieurs appareils peuvent réduire l’impact d’une défaillance unique.
Toutefois, la source ne fournit pas de procédure technique précise ni de recommandation détaillée pour les utilisateurs.
Il serait donc incorrect de présenter une méthode particulière comme une protection garantie.
Le principe général est que la dépendance exclusive à un seul produit augmente les conséquences potentielles d’une faille.
L’intelligence artificielle transforme la sécurité des wallets
Lopp estime que les progrès de l’intelligence artificielle ont probablement accéléré la découverte de la vulnérabilité Coldcard.
Les grands modèles de langage peuvent examiner rapidement de grandes quantités de code et identifier des anomalies difficiles à repérer manuellement.
Cette évolution réduit le coût et le temps nécessaires pour analyser des logiciels complexes.
Elle peut bénéficier aux défenseurs, qui utilisent l’IA pour renforcer les audits et détecter les erreurs avant leur exploitation.
Mais elle profite également aux attaquants.
Une personne malveillante peut utiliser les mêmes outils pour rechercher des vulnérabilités dans des logiciels publics et préparer une attaque plus rapidement.
Une course entre attaquants et défenseurs
Lopp décrit un nouvel environnement dans lequel les deux camps bénéficient des mêmes avancées technologiques.
Les défenseurs peuvent examiner davantage de code et détecter des problèmes plus tôt.
Les attaquants peuvent également automatiser la recherche de failles et cibler des logiciels largement utilisés.
La sécurité devient ainsi une course dans laquelle la rapidité de découverte et de correction prend une importance croissante.
Rodolfo Novak, directeur général de CoinKite, a lui aussi associé l’incident au nouveau contexte créé par l’intelligence artificielle.
Après avoir assumé la responsabilité du bug du firmware, il a décrit l’affaire comme une réalité difficile du nouveau paradigme de l’IA.
Selon cette analyse, l’examen assisté par IA peut révéler des vulnérabilités anciennes plus rapidement que des chercheurs expérimentés.
Le code public peut devenir plus facile à attaquer
La transparence du code permet aux chercheurs indépendants d’examiner les logiciels et de signaler des problèmes.
Cependant, elle donne également aux attaquants la possibilité d’utiliser l’intelligence artificielle pour analyser les mêmes informations.
Le problème n’est pas nécessairement la publication du code elle-même. Il vient du fait que les attaquants peuvent trouver une faiblesse avant les équipes chargées de la corriger.
Lorsqu’une vulnérabilité concerne la génération de clés, le délai entre la découverte et la protection des utilisateurs devient critique.
Les attaquants peuvent commencer à déplacer les fonds dès qu’ils disposent de la capacité de reconstruire les seeds affectées.
Les défaillances de portefeuilles ne sont pas nouvelles
Lopp rappelle que des incidents graves impliquant des portefeuilles matériels se sont déjà produits.
Il estime qu’une douzaine de cas critiques comparables ont pu apparaître auparavant et s’attend à ce que d’autres se produisent à l’avenir.
Cette perspective montre qu’aucun système matériel ou logiciel ne peut être considéré comme définitivement sûr.
Chaque incident peut néanmoins contribuer à relever les normes de sécurité.
Les fabricants corrigent leurs processus, les chercheurs améliorent leurs méthodes et les utilisateurs deviennent plus attentifs aux risques.
La progression de la sécurité repose donc souvent sur l’analyse des défaillances précédentes.
Une crise de confiance pour les fabricants
L’incident Coldcard peut affecter la confiance accordée aux fabricants de portefeuilles matériels.
Les utilisateurs choisissent ces produits précisément parce qu’ils pensent qu’ils offrent une protection supérieure contre le vol des clés.
Une erreur dans la génération des seeds touche au cœur de cette promesse.
La source ne précise pas combien d’utilisateurs continueront d’utiliser Coldcard ni l’impact commercial pour CoinKite.
Elle montre toutefois que les fabricants devront probablement fournir davantage de transparence sur leurs audits, leurs processus de génération aléatoire et leurs mesures de correction.
Ce que les utilisateurs doivent surveiller
Les utilisateurs doivent suivre les avis officiels liés aux modèles et firmwares concernés.
Ils doivent également vérifier si leur seed a été générée pendant la période affectée.
Une simple mise à jour du firmware ne peut pas nécessairement sécuriser une seed déjà créée avec une entropie insuffisante.
La source ne fournit pas ici une procédure complète de migration. Les utilisateurs concernés doivent donc suivre les instructions officielles du fabricant et éviter les messages non sollicités prétendant offrir une assistance.
L’incident peut également attirer des tentatives de phishing visant des personnes inquiètes pour leurs fonds.
Ce que l’industrie doit retenir
La faille montre que l’autoconservation ne peut pas dépendre uniquement d’un slogan.
Elle nécessite des pratiques de sécurité concrètes, des audits indépendants et une reconnaissance honnête des limites humaines.
La majorité des utilisateurs ne vérifiera jamais personnellement chaque ligne de code ou chaque composant électronique.
L’industrie doit donc construire des systèmes dans lesquels les risques peuvent être détectés par plusieurs acteurs et où une défaillance unique ne compromet pas l’ensemble des fonds.
L’intelligence artificielle rend cette exigence plus urgente, car elle accélère à la fois la découverte défensive et l’exploitation malveillante.
La faille Coldcard aurait permis le vol de plus de 1 300 BTC, pour une valeur estimée à environ 83 millions de dollars.
L’incident met en évidence les limites pratiques du principe « ne faites pas confiance, vérifiez », car la plupart des utilisateurs ne peuvent pas auditer eux-mêmes des systèmes matériels et logiciels complexes.
Jameson Lopp et Zach Herbert estiment néanmoins que l’autoconservation reste valable. La leçon principale consiste à éviter de dépendre d’un seul produit, à reconnaître les hypothèses de confiance et à renforcer les pratiques de sécurité.
La faille Coldcard ne prouve pas que l’autoconservation a échoué. Elle montre que contrôler ses clés ne supprime pas entièrement la confiance et que la sécurité doit reposer sur plusieurs couches, plusieurs vérifications et une meilleure préparation aux vulnérabilités accélérées par l’intelligence artificielle.
