Voir la table des matières Ne plus voir la table des matières
- Quatre vagues, 1 816 bitcoins et un compteur qui ne s’arrête pas
- Le replace-by-fee ouvre une brèche de quelques minutes
- Les gestes qui limitent la casse quand un Coldcard dort dans un tiroir
- Une erreur de compilation, pas une faiblesse du bitcoin
- Un marché qui encaisse sans céder à la panique
- Ce que l’autoconservation coûte vraiment
Un portefeuille matériel tient dans une poche et ne se connecte jamais à Internet. C’est tout son intérêt : les clés privées qu’il abrite ne quittent jamais le boîtier, et un logiciel malveillant installé sur votre ordinateur n’a rien à y prendre. Des centaines de milliers de détenteurs de bitcoins ont bâti leur tranquillité sur ce principe, à raison plus solide que la garde sur une plateforme d’échange.
Depuis le 30 juillet 2026, une faille logée dans le firmware des appareils Coldcard, fabriqués par le canadien Coinkite, fait mentir cette promesse. Le compteur des pertes approchait 114 millions de dollars le lundi 3 août, après une quatrième vague de balayage. Celle-ci laisse pourtant une porte entrouverte que les trois précédentes avaient soigneusement refermée. Comment un vol en cours peut-il devenir, l’espace de quelques minutes, une course que la victime a des chances de gagner ?
Quatre vagues, 1 816 bitcoins et un compteur qui ne s’arrête pas
La première salve avait été chirurgicale. Dans la nuit du 30 juillet, 1 082 bitcoins avaient quitté 1 196 adresses en quarante et une minutes, sans qu’un seul appareil ne soit approché physiquement. Deux vagues supplémentaires pendant le week-end ont porté le total observé à 1 367 bitcoins répartis sur 4 585 adresses, selon les relevés publiés par Galaxy Research.
Le quatrième épisode a démarré tôt le lundi matin et tournait encore plusieurs heures plus tard. Alex Thorn, responsable de la recherche chez Galaxy, y a dénombré 448,7 bitcoins déplacés depuis 709 adresses suspectes, ce qui porte le cumul à environ 1 816 bitcoins, soit près de 114 millions de dollars, sur plus de 5 200 adresses depuis le début de l’affaire.
Le rythme trahit une mécanique industrielle. D’après CoinDesk, le motif couvre les blocs 960 778 à 960 792, avec 218 transactions visant 462 adresses de victimes, soit 13,8 balayages par bloc contre 0,3 en période normale, environ quarante-cinq fois la cadence habituelle. Chaque victime reçoit désormais sa propre adresse de destination, fraîchement créée, là où les deux premières vagues convergeaient vers une poignée de collecteurs faciles à cartographier.
Ce changement de méthode s’accompagne d’un détail qui, pour une fois, joue en faveur des détenteurs dépouillés.
Le replace-by-fee ouvre une brèche de quelques minutes
La quatrième vague se distingue par un réglage du protocole Bitcoin : le replace-by-fee. Une transaction diffusée mais non encore confirmée peut être écrasée par une autre qui paie des frais supérieurs. L’attaquant a activé cette option sur la dernière série, ce qui laisse au propriétaire légitime la possibilité de reprendre la main tant que le transfert patiente dans le mempool, la file d’attente des transactions non confirmées.
Ce sont probablement des victimes de Coldcard : elles correspondent à la forme des UTXO Coldcard vulnérables, et le rythme de transactions élevé me donne une grande confiance dans le fait qu’il s’agit d’une nouvelle vague d’attaques.
Alex Thorn, responsable de la recherche chez Galaxy, dans un message publié sur X le 3 août 2026
Le chercheur a publié ses observations sans attendre le témoignage d’une victime, en s’appuyant sur la seule reconnaissance de motifs. Le choix de la vitesse contre la certitude se comprend : chaque minute de silence supplémentaire, c’était une transaction confirmée de plus, donc irréversible.
La parade suppose toutefois de surveiller ses propres adresses en temps réel dans le mempool, puis de signer et de diffuser une transaction concurrente mieux rémunérée. Autant dire qu’elle reste hors de portée du détenteur qui ouvre son application une fois par trimestre, et qu’elle ne remplace en rien le réflexe de fond.
Les gestes qui limitent la casse quand un Coldcard dort dans un tiroir
Coinkite a publié un firmware d’urgence pour tous les modèles concernés et recommande de transférer les fonds vers une adresse issue d’une graine régénérée. Voici les vérifications qui s’imposent avant tout :
- déterminer si la graine du portefeuille a été produite sur un appareil Coldcard après mars 2021, date de la version de firmware fautive ;
- contrôler le solde des adresses concernées sur un explorateur de blocs plutôt que dans l’application du fabricant ;
- générer une nouvelle graine sur un appareil à jour, ou sur un modèle d’une autre marque, avant tout transfert ;
- déplacer les fonds en une seule opération, en payant des frais suffisamment élevés pour passer devant un éventuel balayage.
Les configurations à signatures multiples n’ont, à ce stade, jamais été touchées. Aucune des quatre vagues n’a visé ce type de montage, ce qui reste cohérent avec une faille limitée aux graines à clé unique.
Reste à comprendre pourquoi un appareil conçu pour produire de l’imprévisible a fini par produire du devinable.
Une erreur de compilation, pas une faiblesse du bitcoin
Le firmware de mars 2021 dirigeait la fabrication de la graine vers un générateur logiciel prévisible au lieu du générateur matériel de la puce. L’aléa se réduisait alors au numéro de série de la puce et à ses registres d’horloge, deux valeurs mesurables ou figées. L’ensemble des clés possibles est passé d’un espace astronomique à un intervalle qu’un attaquant patient peut parcourir hors ligne, sans jamais toucher un appareil.
Rien dans cette histoire ne met en cause le protocole Bitcoin lui-même, ni la cryptographie sur laquelle il repose. Le point de rupture se situe dans une chaîne de fabrication industrielle et sa vérification, exactement là où se logent la plupart des incidents de sécurité en informatique. Le constructeur a suspendu ses expéditions et détruit son stock restant le temps de purger le problème.
Un marché qui encaisse sans céder à la panique
Le bitcoin s’échangeait autour de 62 561 $ le 3 août, sous la barre des 63 000 $, avec un repli d’environ 1 % sur la journée. Rapporté à une capitalisation de plusieurs centaines de milliards, 114 millions de dollars pèsent statistiquement très peu, même si la portée symbolique de l’événement dépasse largement son poids comptable.
Le mois d’août figure historiquement parmi les périodes les plus ternes pour le bitcoin, et les flux le confirment : les fonds indiciels américains au comptant ont enregistré 132 millions de dollars d’entrées sur les quatre premières séances du mois, après une sortie nette de 61,53 millions sur la semaine achevée le 31 juillet. Le contraste dit surtout l’hésitation d’un marché qui cherche sa direction.
La véritable onde de choc est ailleurs. Quand un incident touche l’outil de conservation plutôt que la valeur conservée, il déplace la question du prix vers celle de la garde, et ce déplacement-là s’inscrit dans la durée.
Ce que l’autoconservation coûte vraiment
Détenir soi-même ses clés reste le geste qui distingue un actif numérique d’une créance sur un intermédiaire. L’affaire Coldcard rappelle simplement que ce geste a un prix, et que ce prix n’est pas seulement celui du boîtier : il se paie en vigilance, en mises à jour et en redondance. Un patrimoine sérieux ne repose jamais sur un seul point de défaillance, qu’il s’agisse d’un immeuble, d’un contrat ou d’un appareil de la taille d’une clé USB.
Les détenteurs qui répartissent leurs avoirs entre plusieurs marques, plusieurs graines et des montages à signatures multiples traversent cet épisode sans dommage. Ceux qui avaient tout concentré sur un modèle unique découvrent que la diversification ne concerne pas que les actifs détenus, mais aussi la manière de les garder. Le raisonnement vaut d’ailleurs pour la décision plus ancienne de conserver ses clés hors ligne, qui garde tout son sens malgré l’incident.
La suite se jouera sur le terrain de la vérification. Un fabricant d’appareils de sécurité qui livre un firmware fautif pendant cinq ans sans que personne ne s’en aperçoive pose une question à tout un secteur, et pas seulement à lui. Les audits de code ouverts et reproductibles deviennent, dans ce contexte, un critère de choix aussi déterminant que le prix ou l’ergonomie.
