Vol Coldcard 114 Millions Dollars Bitcoin Immobiles

Imaginez un instant : plus de cent quatorze millions de dollars en Bitcoin disparaissent d’un coup, et pourtant la grande majorité de ces fonds reste tranquillement posée sur des adresses contrôlées par les voleurs. C’est exactement ce qui se passe avec le piratage Coldcard. Selon les dernières analyses de Galaxy Research, 87,3 % des pièces volées n’ont toujours pas bougé. Une situation qui intrigue autant qu’elle inquiète les spécialistes de la sécurité crypto.

Le Piratage Coldcard Sous La Loupe De Galaxy Research

Les chiffres publiés récemment par Alex Thorn, responsable de la recherche chez Galaxy, dressent un portrait précis de l’ampleur du sinistre. Au total, 1 789,28 BTC ont été extraits de 8 865 adresses différentes. Au moment des vols, cette somme représentait environ 114,7 millions de dollars. Aujourd’hui, avec la hausse du cours, elle frôle les 138,8 millions.

Ce qui frappe immédiatement, c’est le calme apparent des attaquants. Sur ces 1 789 BTC, 1 561 restent parfaitement immobiles. Ils dorment dans des adresses de collecte ou de conservation. Les trois premières vagues d’attaques, en particulier, n’ont généré aucun mouvement notable. Les chercheurs disposent donc d’une trace on-chain quasi intacte, un véritable trésor pour le suivi des fonds.

Les pertes individuelles varient énormément. Sur l’ensemble des adresses identifiées, la médiane se situe à seulement 0,00152 BTC. La moyenne grimpe à 0,20184 BTC. En revanche, les 221 victimes qui ont directement signalé leurs pertes racontent une tout autre histoire. Elles totalisent 790,72 BTC, soit 44,2 % de l’ensemble. La médiane grimpe alors à 1,04272 BTC et la moyenne atteint 3,57792 BTC. Autrement dit, au moins la moitié de ces personnes a perdu plus d’un Bitcoin.

Des Bitcoins Dormants Depuis Des Années

Un détail révèle l’ancienneté des portefeuilles ciblés. Avant d’être vidés, les adresses affichent une dormance médiane de 3,2 années. La moyenne atteint même 3,6 années. Chez les victimes qui ont signalé leur perte, ces chiffres restent proches : 3,25 années en médiane et 2,99 années en moyenne. Les attaquants ont donc frappé des comptes qui dormaient depuis longtemps, souvent créés à une époque où la sécurité des seeds n’était pas encore au centre des préoccupations.

Galaxy Research continue d’affiner ses estimations. En incluant des adresses de confiance moyenne non encore totalement confirmées, le total pourrait monter à environ 1 824 BTC, soit près de 140 millions de dollars au moment des vols respectifs. Ces ajustements successifs montrent à quel point le travail de cartographie reste vivant et évolutif.

L’Origine Technique Du Problème

Le cœur de l’affaire se trouve dans une faiblesse de génération de seeds. Selon les analyses de TRM Labs, un problème de configuration du firmware apparu en mars 2021 a forcé certains appareils Coldcard à se rabattre sur un générateur de nombres aléatoires logiciels plutôt que sur l’entropie matérielle attendue. Résultat : la force des clés a chuté suffisamment pour permettre une attaque par force brute à distance, sans jamais avoir besoin de toucher physiquement le portefeuille.

Les premières vagues ont commencé vers le 30 juillet. Plusieurs séries d’attaques se sont enchaînées. TRM Labs a rapidement établi le lien avec cette faille de randomisation. Une fois le seed généré avec une entropie trop faible, même une mise à jour ultérieure du firmware ne peut plus corriger le problème. Les utilisateurs concernés n’ont d’autre solution que de créer un nouveau seed sur un matériel sain et de transférer leurs fonds.

Installer un firmware à jour ne répare pas un seed déjà généré avec une randomisation insuffisante. Seule la création d’une nouvelle phrase de récupération sur un appareil sain permet de retrouver une sécurité réelle.

Analyse TRM Labs reformulée

Les Premières Vagues Restent Silencieuses

Le fait que les trois premières vagues n’aient presque pas bougé change complètement la donne pour les enquêteurs. Ces fonds restent visibles et traçables. Chaque adresse de collecte est sous surveillance permanente. Dès qu’un mouvement se produira, les équipes de Galaxy et d’autres firmes de conformité pourront réagir presque en temps réel.

Galaxy a déjà partagé les adresses identifiées avec des plateformes d’échange, des sociétés de conformité et les forces de l’ordre. L’objectif est clair : bloquer les fonds dès qu’ils tenteront d’entrer dans un service centralisé. Cette collaboration entre acteurs privés et autorités constitue aujourd’hui l’un des rares leviers efficaces contre ce type de vol.

Les Vagues Plus Récentes Changent De Stratégie

Tout n’est pas resté immobile. Les attaques plus tardives montrent un comportement différent. Les voleurs ont commencé à utiliser des techniques d’obscurcissement classiques : CoinJoin et chaînes de peel. Le CoinJoin mélange les transactions de plusieurs participants pour rendre la correspondance entre entrées et sorties beaucoup plus difficile. Les chaînes de peel, elles, consistent à découper progressivement un solde important en petites quantités déplacées vers de nouvelles adresses, allongeant ainsi le fil à suivre.

Ces méthodes ne rendent pas les fonds invisibles, mais elles compliquent considérablement le travail d’analyse. Galaxy continue de suivre ces mouvements avec attention. La différence de comportement entre les premières vagues et les suivantes a même conduit certains analystes à envisager la présence de plusieurs groupes d’attaquants distincts, même si aucune attribution formelle n’a encore été établie.

Coldcard, Une Marque Construite Sur La Sécurité Offline

Le paradoxe est cruel. Coldcard s’est construit une solide réputation autour de la conservation hors ligne et de la sécurisation matérielle. La marque Coinkite a toujours mis en avant ses éléments sécurisés doubles, son firmware open-source et ses flux de transaction air-gapped. En mai dernier encore, le Coldcard MK5 a été présenté comme une évolution majeure : écran plus large en Gorilla Glass, boutons redessinés, NFC amélioré, tout en conservant l’architecture Bitcoin-only et les deux puces de sécurité distinctes.

Cette image de forteresse a été ébranlée par une faille qui ne concernait pas le matériel physique, mais la manière dont certains seeds ont été générés des années plus tôt. Le problème ne venait pas d’une attaque laser sophistiquée ou d’une extraction de clés en laboratoire. Il provenait d’une simple erreur de configuration logicielle qui a réduit l’entropie disponible.

Le Contexte Plus Large De La Sécurité Des Portefeuilles

L’été 2026 a déjà été marqué par plusieurs alertes sur la randomisation. En juillet, Coinspect a révélé une vulnérabilité baptisée « Ill Bloom » touchant plusieurs portefeuilles logiciels. Environ cinq millions de dollars avaient déjà bougé depuis des wallets exposés. Les portefeuilles matériels semblaient alors épargnés par cette faille précise. Le cas Coldcard est venu rappeler que même les solutions hardware ne sont pas immunisées lorsque la génération de la phrase de récupération est compromise.

D’autres incidents ont montré des approches très différentes. Des chercheurs de Ledger Donjon ont démontré une attaque laser contre une carte Tangem capable de réinitialiser le mot de passe. Tangem a immédiatement souligné que l’attaque exigeait la possession physique de la carte, des compétences très spécialisées et un équipement de laboratoire estimé autour de 250 000 dollars. Une menace réelle, mais d’un tout autre ordre que celle qui a frappé Coldcard.

Dans le même temps, l’enquêteur on-chain ZachXBT a publiquement exprimé ses doutes quant à la capacité des portefeuilles matériels actuels à sécuriser des montants critiques. Son opinion personnelle, formulée avant que l’affaire Coldcard n’éclate pleinement, a pris une résonance particulière au regard des événements.

Pourquoi Tant De Fonds Restent Immobiles

Plusieurs hypothèses circulent parmi les analystes. La plus simple consiste à penser que les attaquants attendent une fenêtre plus favorable pour liquider. Une autre possibilité est qu’ils cherchent à laisser refroidir les fonds avant de tenter un blanchiment plus sophistiqué. Une troisième piste évoque des difficultés techniques ou organisationnelles internes au groupe.

Quoi qu’il en soit, cette immobilité profite pour l’instant aux enquêteurs. Tant que les 1 561 BTC restent sur des adresses connues, ils constituent une cible claire pour d’éventuelles saisies ou freezes dès qu’ils tenteront de rejoindre un exchange ou un service réglementé.

Les Conséquences Pour Les Utilisateurs De Portefeuilles Matériels

Cette affaire relance une discussion essentielle : la confiance aveugle dans le matériel n’est jamais une stratégie complète. Même un appareil conçu pour rester offline peut transmettre un seed faiblement généré si le firmware présente une faille au moment de la création. Les utilisateurs qui ont généré leur phrase de récupération sur un Coldcard entre mars 2021 et la découverte du problème sont particulièrement concernés.

La recommandation reste la même : vérifier l’historique de génération de son seed, et en cas de doute, migrer vers une nouvelle phrase créée sur un appareil à jour et vérifié. Le transfert doit se faire avec méthode, en s’assurant que la nouvelle adresse est bien dérivée d’un seed sain avant d’y envoyer l’intégralité des fonds.

Le Rôle Des Firmes D’Analyse On-Chain

Galaxy Research, TRM Labs et d’autres acteurs spécialisés jouent un rôle central. Leur capacité à relier des milliers d’adresses, à calculer des statistiques de dormance et à partager des listes d’adresses malveillantes avec les exchanges change la donne. Sans ce travail de cartographie, les 1 561 BTC immobiles seraient beaucoup plus difficiles à surveiller.

La collaboration avec les forces de l’ordre, déjà évoquée dans certains reports, renforce encore cette dynamique. L’hypothèse selon laquelle le FBI pourrait déjà avoir identifié une partie des adresses liées à 1 082 BTC circule depuis plusieurs semaines et illustre l’intérêt croissant des autorités pour ce type de dossiers.

Une Leçon Sur L’Entropie Et La Génération De Seeds

Au fond, l’affaire Coldcard rappelle une vérité technique souvent oubliée. La sécurité d’un portefeuille Bitcoin repose avant tout sur la qualité de l’entropie utilisée pour créer le seed. Si cette source de hasard est compromise, même le meilleur élément sécurisé du marché ne peut plus garantir l’inviolabilité des clés.

Les fabricants ont multiplié les efforts pour isoler l’entropie matérielle. Pourtant, une simple erreur de configuration a suffi à faire basculer certains appareils vers un générateur logiciel plus faible. Ce type de faille est particulièrement insidieux car il ne laisse aucune trace visible pour l’utilisateur final. Le portefeuille continue de fonctionner normalement. Les transactions se signent correctement. Seule une analyse approfondie des seeds générés permet de détecter le problème a posteriori.

Que Peut-On Attendre Dans Les Prochaines Semaines

Plusieurs scénarios restent ouverts. Les attaquants peuvent continuer à laisser dormir la majorité des fonds tout en testant des techniques d’obscurcissement sur de petites quantités. Ils peuvent aussi tenter de liquider progressivement via des services moins regardants. Enfin, une intervention des autorités ou un freeze sur des exchanges pourrait venir réduire le butin disponible.

Galaxy Research a indiqué qu’elle poursuivrait le suivi et le partage des adresses. Chaque nouveau mouvement sera scruté. Les victimes qui n’ont pas encore signalé leur perte sont invitées à le faire, car chaque information supplémentaire affine la cartographie globale.

Un Impact Durable Sur La Confiance

Au-delà des chiffres, l’épisode laisse une trace. Coldcard symbolisait pour beaucoup la solution ultime de self-custody Bitcoin. Voir des centaines de millions s’évaporer à cause d’une faille de randomisation ancienne force toute la communauté à reconsidérer ses pratiques. Les mises à jour de firmware, les audits de génération de seeds et les procédures de migration deviennent plus que jamais des sujets prioritaires.

Les fabricants, de leur côté, vont devoir démontrer que de telles erreurs de configuration ne peuvent plus se reproduire. La transparence sur les processus de génération d’entropie et sur les tests de randomisation sera scrutée de près.

Les Enseignements Pour L’Ensemble De L’Écosystème

Cette affaire dépasse largement le seul cas Coldcard. Elle illustre la difficulté de sécuriser un système sur le très long terme. Un firmware déployé en 2021 peut encore provoquer des dégâts massifs en 2026. Elle montre aussi la puissance des outils d’analyse on-chain modernes. Sans eux, la majorité des fonds serait déjà diluée dans des techniques de mélange sophistiquées.

Enfin, elle rappelle que la collaboration entre chercheurs privés, plateformes d’échange et autorités constitue aujourd’hui l’un des rares moyens de récupérer, ou au moins de geler, une partie des avoirs volés. Les 1 561 BTC encore immobiles représentent à la fois un défi et une opportunité pour les enquêteurs.

Le piratage Coldcard n’est pas terminé. Tant que ces Bitcoin restent sous le contrôle des attaquants, le dossier reste ouvert. La communauté observe, les analystes tracent, et les utilisateurs vérifient leurs seeds. Dans l’univers de la self-custody, la vigilance n’est jamais une option, c’est une condition de survie.

Les prochaines semaines diront si les voleurs décident enfin de bouger leurs fonds ou s’ils préfèrent continuer à les laisser dormir. Dans un cas comme dans l’autre, les adresses sont connues, les outils de suivi sont en place, et la pression monte. Pour les victimes, chaque jour sans mouvement est à double tranchant : il préserve l’espoir d’une éventuelle saisie, mais prolonge aussi l’incertitude.

Dans un marché où la confiance se construit lentement et se brise rapidement, l’affaire Coldcard restera longtemps comme un avertissement. Même les solutions les plus réputées peuvent cacher une faiblesse ancienne. La seule protection durable reste une compréhension fine des mécanismes de génération de clés et une discipline sans faille dans la gestion des seeds.

Galaxy Research, TRM Labs et les autres acteurs de la traçabilité continueront de publier des mises à jour. Les utilisateurs, de leur côté, gagneront à prendre le temps de vérifier l’origine de leurs phrases de récupération. Car dans le monde du Bitcoin, une fois le seed compromis, il n’existe plus de retour en arrière possible. Seule la migration vers un nouveau seed sain permet de retrouver une sécurité réelle.

L’histoire des 1 561 BTC immobiles n’est donc pas seulement celle d’un vol. C’est aussi celle d’une course contre la montre entre des attaquants qui cherchent à liquider en toute discrétion et des équipes d’analystes qui refusent de les laisser disparaître dans le silence de la blockchain.