Hacker Coldcard Convertit Bitcoin Volé Via Thorchain

Et si le premier vrai mouvement d’un butin resté longtemps immobile n’était pas un dépôt sur une plateforme classique, mais un échange discret d’une chaîne à l’autre ? C’est précisément ce que des chercheurs ont observé au début de septembre 2026 : un acteur associé à la troisième vague de vols visant des portefeuilles Coldcard a commencé à transformer une fraction du bitcoin dérobé en ether, en passant par le protocole d’échange interchaînes THORChain. Le geste paraît technique. Il change pourtant la nature de l’enquête. Tant que les fonds dormaient sur les adresses d’origine, le récit restait celui d’un stock figé. Dès qu’ils voyagent, le travail de suivi reprend, les hypothèses se multiplient, et les victimes se demandent si une saisie reste encore possible.

Le Premier Déplacement Du Butin Change L’Enquête

Selon les observations relayées par Alex Thorn, de Galaxy Research, les transactions du 3 septembre n’ont concerné qu’environ 10 % des bitcoins encore contrôlés par cet attaquant précis. Autrement dit, près de 90 % des fonds de cette vague restaient, au moment du signalement, sur leurs adresses initiales. Ce n’est donc pas une fuite totale. C’est un test, un premier passage, une tentative de liquider une tranche sans tout exposer d’un seul coup.

Les chercheurs ont suivi les swaps jusqu’à une nouvelle adresse Ethereum. Thorn a indiqué avoir transmis cette destination aux autorités, à des sociétés du secteur et à d’autres équipes qui surveillent déjà les flux issus de l’incident. L’idée n’est pas de crier victoire. Elle consiste à placer des filets là où l’ether pourrait atterrir ensuite : dépôts en bourse, ponts, services de confidentialité, ou simples portefeuilles intermédiaires.

L’exploiteur de la troisième vague a déplacé des fonds volés pour la première fois, en les échangeant vers l’ether via la plateforme d’échange interchaînes THORChain. Ce sont les premiers fonds des vagues 1, 2 ou 3 à quitter onchain les adresses d’origine du pirate.

Alex Thorn, Galaxy Research

Cette phrase, reprise et reformulée à partir des messages publics du chercheur, résume l’enjeu. Pendant des semaines, le marché a commenté un vol massif dont la plus grande part ne bougeait pas. Le 3 septembre, une fenêtre s’est ouverte. Petite, imparfaite, parfois même ratée, mais réelle.

Ce Que L’On Sait Déjà Sur L’Étendue Des Vols

Galaxy Research avait auparavant rattaché environ 1 789,28 BTC à la faille Coldcard, répartis sur 8 865 adresses. Au moment des vols, cette masse valait près de 114,7 millions de dollars. Le chiffre n’est pas une photographie judiciaire définitive. C’est une estimation construite à partir de rapports de victimes et d’une lecture onchain plus large.

Une partie des données reposait sur 221 signalements de personnes touchées, pour un total d’environ 790,72 BTC. Le reste provenait de l’identification d’adresses supplémentaires présentant les mêmes signatures de génération prévisible. Les analystes ont d’ailleurs distingué des grappes à haute confiance et d’autres ensembles plus incertains. Cette prudence compte : confondre un portefeuille innocent avec un butin, c’est créer un nouveau préjudice.

Fin août, crypto.news et d’autres observateurs indiquaient qu’environ 87 % du bitcoin identifié n’avait pas bougé. Ce pourcentage mélangeait plusieurs attaquants et plusieurs vagues. Le swap de septembre ne contredit pas ce tableau d’ensemble. Il montre seulement qu’au moins un opérateur a décidé de casser l’attente.

Pourquoi Thorchain Plutôt Qu’Une Plateforme Centrale

THORChain permet d’échanger des actifs natifs d’une blockchain à une autre sans passer par un dépositaire unique. Dans le cas présent, cela signifie convertir du bitcoin natif en ether natif sans ouvrir un compte KYC, sans déposer chez un courtier, sans signer un formulaire. Pour un acteur qui détient des fonds d’origine illicite, l’attrait est évident : moins de points de gel immédiat, davantage de fluidité entre écosystèmes.

Cela ne rend pas l’argent invisible. Les swaps laissent des traces publiques. Les pools, les mémos, les montants et les horodatages forment une chaîne de coincidences que des équipes spécialisées savent lire. La confidentialité n’est donc pas magique. Elle est seulement déplacée : on quitte la lisibilité simple d’une adresse Bitcoin figée pour entrer dans un labyrinthe de conversions.

Le choix de l’ether n’est pas anodin non plus. L’écosystème Ethereum offre des ponts, des applications décentralisées, des marchés de liquidité et, hélas, des services destinés à brouiller l’origine des fonds. Passer du BTC à l’ETH, c’est souvent préparer la suite : fragmenter, relayer, éventuellement tenter un mélange plus tard. Rien n’indique encore que cette suite ait eu lieu. Mais le premier saut interchaînes est précisément le genre de geste qui précède ces étapes.

Des Swaps Qui Échouent Et Un Pirate Qui Réessaie

Tous les essais n’ont pas abouti. Thorn a décrit un attaquant qui semblait rencontrer des difficultés techniques : certaines tentatives étaient remboursées, puis relancées. Le protocole renvoyait les fonds, le pirate recommençait. Ce ballet a une double lecture. D’un côté, il trahit une maîtrise imparfaite des paramètres de swap, de la liquidité disponible ou des garde-fous du réseau. De l’autre, il confirme une volonté persistante : l’opérateur n’abandonne pas au premier refus.

La cause exacte des remboursements n’était pas établie au moment des premiers comptes rendus. Plusieurs hypothèses circulaient déjà dans les cercles d’analystes : profondeur de pool insuffisante pour la taille des ordres, tolérance de glissement trop serrée, conditions de mémo mal formées, ou encore mécanismes internes qui interrompent une route jugée trop risquée. Aucune de ces pistes n’avait reçu de validation publique définitive. Il faut donc les tenir pour ce qu’elles sont : des possibles, pas un diagnostic.

Le pirate semble rencontrer des difficultés pour tout échanger via THORChain. Les fonds lui reviennent et il relance les tentatives.

Alex Thorn

Ce détail humain, presque banal, a son importance. On imagine trop souvent le cybercrime comme une machine sans friction. Or voici un opérateur qui bute, recommence, ajuste. Cette maladresse relative peut créer des fenêtres d’observation plus longues. Chaque retry est une nouvelle empreinte. Chaque remboursement est une confirmation que l’adresse source reste active.

Plusieurs Mains Sur La Même Faiblesse

Les swaps de septembre ne doivent pas être confondus avec d’autres mouvements déjà attribués à des acteurs distincts. En août, CertiK avait signalé que des portefeuilles liés à l’affaire plus large avaient dirigé environ 64 BTC et 200 ETH vers des mélangeurs. D’autres lectures montraient un attaquant conservant près de 1 159 BTC, tandis qu’un second commençait à brouiller des quantités plus modestes.

Ces divergences de comportement suggèrent une scène fragmentée. Une même faiblesse de génération de graines a pu être exploitée par plusieurs parties, avec des styles différents : l’un thésaurise, l’autre mélange tôt, le troisième attend puis bascule vers un swap interchaînes. Pour les enquêteurs, cela complique le récit unique. Pour les victimes, cela signifie qu’il n’existe pas un seul « grand méchant » facilement isolable, mais une grappe d’opportunistes qui ont lu la même faille.

Les mélangeurs et les échanges interchaînes rendent le suivi plus laborieux. Ils ne l’abolissent pas. Dès qu’un actif ressort vers une plateforme réglementée, le contrôle d’identité redevient un levier. Thorn a précisément souligné que la nouvelle destination Ethereum avait été partagée afin que des entreprises puissent repérer d’éventuels dépôts ultérieurs. Le filet n’est pas le protocole décentralisé. Le filet, souvent, reste le guichet où l’on convertit enfin vers une monnaie plus facile à dépenser.

La Faille N’Était Pas Un Vol De Boîtier, Mais Une Graine Trop Prévisible

Le cœur de l’affaire n’est pas un cambriolage physique. Ce n’est pas non plus un piège de hameçonnage classique, où l’on pousse la victime à signer une transaction ou à recopier une phrase secrète. Le problème venait d’une génération de graines trop faible dans certains firmware Coldcard publiés à partir de 2021. L’entropie censée rendre une phrase de récupération imprévisible n’était pas au niveau attendu. Des attaquants ont pu calculer des clés privées à distance, puis balayer la chaîne publique du bitcoin à la recherche d’adresses financées.

Cette mécanique explique pourquoi des utilisateurs prudents ont tout de même perdu des fonds. Ils n’avaient rien approuvé. Ils n’avaient rien révélé. Leur dispositif était peut-être dans un coffre. Mais la graine, créée sous un logiciel défectueux, portait déjà le défaut. Une fois la clé dérivée, l’adresse visible sur le grand livre public devenait une cible comme une autre.

Coinkite, le fabricant, a indiqué que des firmware corrigés étaient disponibles pour les modèles concernés. Le message de sécurité le plus important, cependant, n’est pas « mettez à jour et tout rentrera dans l’ordre ». Une mise à jour ne répare pas une graine déjà engendrée sous le logiciel vulnérable. Il faut créer une nouvelle graine avec le firmware corrigé, puis transférer les bitcoins vers des adresses contrôlées par ce nouveau portefeuille. Tant que les fonds restent sur l’ancienne dérivation, le risque théorique demeure.

Un Attaquant Encore Actif Après Les Grandes Vagues

Le 29 août, une adresse liée à l’opération a vidé un portefeuille volontairement affaibli, créé par des chercheurs pour tester si la chasse aux clés prévisibles continuait. Le compromis a été rapide. Près d’un mois après les plus gros raids, le balayage automatisé semblait toujours en cours. Autrement dit, l’histoire n’était pas seulement celle d’un hold-up daté. C’était aussi celle d’un processus qui continue de chercher des restes.

Ce détail devrait calmer les discours trop rassurants. Une personne qui possède encore des fonds sur une graine suspecte ne peut pas se dire que « le plus gros est passé ». Si des scripts tournent encore, le critère n’est pas le calendrier médiatique. Le critère est la prévisibilité de la clé. Tant qu’une adresse financée correspond à un espace de recherche encore exploré, elle peut sauter.

Les pirates Coldcard sont encore actifs. Ici, un attaquant a balayé des clés générées avec seulement cinq lancers de dés d’entropie ajoutée.

Alex Thorn

Le test des chercheurs, avec une entropie volontairement misérable, n’était pas une invitation au vol. C’était un détecteur de mouvement. Sa conclusion est sèche : quelqu’un, quelque part, continue de sonder. Dans un écosystème où l’on répète que le matériel protège mieux que le logiciel, ce rappel fait mal. Le matériel n’absout pas une génération interne médiocre.

Ce Que Les Mouvements Disent Du Blanchiment Onchain

On distingue souvent trois temps dans la vie d’un butin numérique. D’abord l’extraction, ensuite le stationnement, enfin la conversion. Ici, l’extraction a eu lieu par vagues. Le stationnement a duré des semaines pour la majorité des fonds. La conversion commence à peine pour une tranche de la troisième vague. Ce rythme n’est pas unique. On l’a déjà vu après d’autres compromissions : plus le montant est visible, plus l’opérateur hésite à tout bouger d’un coup.

Le passage par un protocole d’échange interchaînes plutôt que par un mélangeur, dans ce cas précis, peut correspondre à une stratégie d’étape. Le mélangeur attire l’attention des analystes spécialisés dans les graphes de brouillage. Le swap, lui, ressemble davantage à une opération de marché. Il change d’actif, change de chaîne, et laisse ouverte la possibilité de se fondre ensuite dans le trafic Ethereum, bien plus dense et plus fragmenté.

Les équipes de conformité des plateformes centralisées restent néanmoins un obstacle majeur. Elles croisent listes de sanctions, grappes d’adresses signalées et comportements de dépôt inhabituels. Partager tôt une adresse de destination, comme l’a fait Thorn, vise exactement ce goulot. Si l’ether arrive un jour sur un compte identifiable, le récit judiciaire peut basculer. Si l’ether circule indéfiniment entre contrats et relais, le dossier restera longtemps un dossier de traces plutôt qu’un dossier d’arrestation.

Les Victimes Face À Une Double Injonction

Pour les personnes touchées, l’actualité de septembre est à la fois un espoir mince et une relance de l’angoisse. Un espoir, parce qu’un mouvement crée des points d’interception possibles. Une angoisse, parce qu’il confirme qu’un opérateur est toujours aux commandes et cherche à rendre le butin plus utilisable. Dans les deux cas, la consigne pratique ne change pas : migrer ce qui peut encore l’être, documenter les adresses, et ne pas interagir avec des « récupérateurs » improvisés qui pullulent après chaque gros incident.

La migration elle-même doit être menée avec calme. Générer une nouvelle graine sur un firmware à jour, vérifier l’appareil, tester d’abord un petit montant, puis déplacer le reste. Écrire la nouvelle phrase hors ligne, loin d’un téléphone photographiant tout. Éviter les tutoriels douteux qui demandent de « valider » une graine sur un site. L’ironie serait cruelle : après une faille de génération, tomber dans un piège d’ingénierie sociale classique.

• Vérifier le firmware avant toute nouvelle graine
• Ne jamais réutiliser une phrase née sous un logiciel suspect
• Transférer d’abord une somme minime de contrôle
• Conserver des preuves d’adresses et de dates pour tout dossier
• Ignorer les offres de récupération non sollicitées

Ces gestes ne réparent pas un vol déjà consommé. Ils réduisent le risque d’un second passage. Dans une affaire où des scripts semblent encore chercher des clés faibles, la prévention n’est pas un discours abstrait. C’est une course contre un balayage qui, lui, ne s’arrête pas pour lire les communiqués.

Le Portefeuille Matériel N’Est Pas Un Talisman

L’industrie du stockage à froid a longtemps vendu une promesse simple : la clé ne quitte pas la puce, donc le risque s’effondre. Cette affaire rappelle une vérité moins marketing. Un boîtier n’est qu’une chaîne de confiance. Si le générateur d’entropie, le firmware, le processus de mise à jour ou la documentation faiblissent, le métal autour de la puce ne sauve personne. Les bonnes pratiques de l’utilisateur, elles non plus, ne compensent pas une graine déjà trop courte en hasard.

Cela ne signifie pas que tous les dispositifs se valent, ni que le logiciel seul serait plus sûr. Cela signifie que le critère décisif n’est pas le slogan « air gap », mais la qualité de la génération, la vérifiabilité du code, la clarté des alertes et la capacité d’un fabricant à dire tôt : cette version-là ne doit plus servir à créer des graines. Coinkite a publié des correctifs et une consigne de migration. Le débat public, lui, porte désormais sur le temps écoulé entre la période vulnérable et la prise de conscience collective.

D’autres fabricants observeront l’épisode comme un cas d’école. Les audits d’entropie, trop souvent traités comme une formalité, redeviennent un sujet de premier plan. Les utilisateurs avancés, eux, se souviennent pourquoi certains ajoutent encore des dés, des sources externes, des vérifications croisées. Non par folklorisme. Parce qu’une phrase de récupération est un objet unique : une fois mal née, elle reste mal née.

Suivre L’Ether Sans Se Raconter De Romans

Les prochaines heures et les prochains jours d’analyse porteront moins sur le bitcoin resté immobile que sur le comportement de l’adresse Ethereum nouvellement identifiée. Trois familles de scénarios dominent. Premier scénario : l’ether stagne, comme le bitcoin avant lui, signe d’un opérateur prudent. Deuxième scénario : il se fragmente vers des relais, des ponts ou des applications de confidentialité. Troisième scénario : une fraction tente une sortie vers une plateforme centralisée, malgré le risque de gel.

Aucun de ces scénarios n’était tranché au moment où les premiers transferts ont été décrits. Aucune récupération publique, aucune arrestation officielle, aucune identification confirmée de l’attaquant n’avait été annoncée. Il faut donc résister à deux tentations contraires. Celle du sensationnalisme, qui transforme un swap en dénouement. Et celle du cynisme, qui déclare d’emblée que tout est déjà perdu parce qu’un protocole décentralisé a été utilisé.

La réalité des enquêtes onchain est plus lente. On cartographie. On attend. On compare des grappes. On croise un dépôt, une réutilisation de frais, un schéma horaire. Parfois rien pendant des mois. Parfois une erreur humaine suffit. Les remboursements répétés sur Thorchain montrent précisément qu’une erreur reste possible. Un opérateur pressé, contrarié par la liquidité, peut laisser davantage de surface que prévu.

Ce Que Cet Épisode Dit Du Marché En 2026

Le bitcoin a continué de se négocier, les bandeaux de prix ont défilé, et l’actualité réglementaire américaine a occupé d’autres colonnes. Pourtant, un vol de cette ampleur réveille une question que le marché préfère parfois reléguer : la sécurité du stockage individuel reste le talon d’Achille d’un actif présenté comme souverain. Quand près de 1 800 bitcoin changent de main sans que les victimes n’aient cliqué sur quoi que ce soit, la souveraineté théorique se heurte à une dépendance très concrète envers le firmware.

Les institutions, elles, regardent ces dossiers autrement. Elles y voient un argument pour la garde déléguée, les procédures, les assurances, les listes blanches. Les maximalistes de l’auto-détention y voient au contraire la nécessité d’exiger davantage de transparence des fabricants, pas un retour vers les banques. Les deux lectures peuvent coexister dans le même article d’actualité, parce qu’elles naissent du même fait : une chaîne d’outils a failli, et l’argent a suivi la faille.

Thorchain, pris dans le récit, n’est ni le coupable ni le sauveur. C’est une infrastructure de conversion. Comme toute infrastructure ouverte, elle peut servir un trader légitime à trois heures du matin aussi bien qu’un opérateur qui cherche à changer de rail. Demander à un protocole sans garde de « refuser le crime » revient souvent à demander l’impossible. Demander aux acteurs identifiables en aval de surveiller une adresse signalée, en revanche, reste dans le domaine du faisable.

Chronologie Utile Pour Ne Pas Mélanger Les Vagues

Les récits de piratage s’emmêlent vite. Une chronologie courte aide à garder les faits distincts. D’abord, une période de firmware où certaines graines naissent trop faibles. Ensuite, plusieurs vagues de balayage et de vidage d’adresses financées. Puis un long plateau où la majorité des fonds ne bougent pas. En août, des mouvements vers des mélangeurs sont attribués à d’autres grappes. Fin août, un portefeuille piège de chercheurs est vidé, preuve d’une activité persistante. Début septembre, la troisième vague tente un passage vers l’ether via Thorchain, avec des échecs et des relances.

Cette séquence n’est pas un roman policier achevé. C’est un dossier encore ouvert, avec des zones de confiance inégales selon les adresses. Galaxy l’a dit à sa manière : tout n’a pas le même degré d’attribution. Relayer cette prudence n’est pas une mollesse journalistique. C’est la condition pour ne pas désigner à tort un portefeuille, ni gonfler un total, ni fusionner des attaquants qui n’ont peut-être jamais coopéré.

Pourquoi 90 % D’Immobilité Peut Durer Encore

Garder la majorité d’un butin sur les adresses d’origine peut sembler irrationnel. Pourquoi ne pas tout diluer tout de suite ? Parce que le premier mouvement est aussi le plus surveillé. Parce qu’un swap trop gros casse la liquidité et attire les capteurs. Parce qu’un attaquant peut juger plus sûr de tester une route avec 10 % avant d’engager le reste. Parce qu’enfin, dans certains dossiers, une partie des fonds n’est plus aussi facilement dépensable qu’on le croit : trop marquée, trop observée, trop liée à des grappes déjà publiées.

L’immobilité n’est donc pas forcément de l’incompétence. Elle peut être une tactique. Elle peut aussi être un blocage : peur, désaccord entre coéquipiers, attente d’un meilleur moment de marché, ou simple difficulté à trouver une sortie assez liquide sans se faire geler. Les retries sur Thorchain plaident plutôt pour la troisième famille d’explications, au moins pour la tranche déjà tentée. Pour les 90 % restants, on n’en sait rien. Et l’honnêteté commande de le dire.

Le Rôle Discret Des Chercheurs Et Des Entreprises

Sans les publications de Galaxy et d’autres équipes, le public verrait seulement des rumeurs de « gros vol de hardware wallet ». Avec elles, on dispose de totaux, de vagues, de pourcentages d’immobilité, d’une adresse Ethereum, d’un protocole de sortie. Ce travail n’est pas glamour. Il consiste à relier des sorties, à écarter des faux positifs, à prévenir des compliance officers, à résister à la tentation de tout fusionner dans un même narco-récit.

Les entreprises destinataires de l’adresse jouent un rôle moins visible encore. Elles n’ont aucun intérêt marketing à raconter qu’elles ont bloqué un dépôt. Quand elles le font, c’est souvent dans le silence des tickets internes. C’est pourquoi l’absence d’annonce de gel ne prouve pas l’absence d’action. Elle prouve seulement que, au moment du premier signalement, rien de public n’était encore sorti.

Les autorités, elles, avancent selon d’autres calendriers. Une adresse partagée n’est pas un mandat. Un swap n’est pas un flagrant délit géolocalisé. Entre la trace onchain et une procédure, il y a des commissions rogatoires, des qualifications juridiques, des questions de compétence. Promettre une issue rapide serait trompeur. Relayer que le premier mouvement a été documenté et diffusé, en revanche, est factuel.

Ce Que Les Utilisateurs De Bitcoin Devraient Retenir

Au-delà de Coldcard, l’enseignement dépasse la marque. Toute graine mérite d’être traitée comme un objet historique : on doit savoir quand elle a été créée, sur quel logiciel, avec quelle source d’entropie. Une phrase écrite en 2021 sur un appareil ensuite corrigé n’est pas équivalente à une phrase née après le correctif. Le calendrier du firmware devient une information de sécurité, au même titre que l’endroit où l’on range le papier.

Deuxième enseignement : la chaîne publique est un allié ambigu. Elle permet aux chercheurs de compter, de suivre, d’alerter. Elle a aussi permis aux attaquants de savoir quelles adresses dérivées étaient garnies. La transparence du bitcoin n’est pas un décor moral. C’est un mécanisme à double tranchant, magnifique pour l’audit, impitoyable quand la clé est prévisible.

Troisième enseignement : changer d’actif n’efface pas une origine. Passer du BTC à l’ETH via un routeur interchaînes peut sembler une métamorphose. Pour un analyste, c’est souvent une simple traduction. Le montant, l’heure, la rareté de la route, le mémo, la nouvelle adresse : autant d’accroches. Les romans sur l’anonymat parfait survivent mal au contact des graphes.

Une Affaire Qui Force À Relire La Confiance Ordinaire

Beaucoup d’acheteurs d’un portefeuille matériel croient acheter la fin du souci. Ils achètent en réalité un produit dont la sûreté dépend d’une série d’hypothèses : le hasard interne est bon, le code fait ce qu’il dit, la mise à jour arrive à temps, l’utilisateur comprend qu’une correction future ne rétroagit pas sur le passé. Quand l’une de ces hypothèses casse, le récit de l’auto-souveraineté se fissure. Non parce que l’idée serait vaine, mais parce qu’elle exige une discipline que la publicité résume trop souvent en une photo de boîtier posé sur une table.

Il faudra du temps pour mesurer si cette affaire change les habitudes d’achat, les standards d’audit, ou seulement le volume des discussions sur les forums spécialisés. En attendant, le fait d’actualité demeure étroit et précis. Un attaquant de la troisième vague a commencé à convertir une minorité de bitcoin volé en ether. Il a buté. Il a réessayé. Des chercheurs ont suivi la route. Une adresse a été partagée. Le reste du butin, immense, n’avait pas encore basculé.

C’est peu, et c’est déjà beaucoup. Peu, parce que 10 % ne clôturent rien. Beaucoup, parce qu’après des semaines de silence onchain du côté des adresses d’origine, le silence s’est brisé. Les prochaines pages du dossier se joueront moins dans les communiqués que dans les blocs : un dépôt trop visible, un pont trop emprunté, ou au contraire une nouvelle période d’attente. Pour les victimes, la seule décision encore pleinement entre leurs mains n’est pas la capture du pirate. C’est la migration de tout ce qui, chez elles, pourrait encore reposer sur une graine née trop prévisible.

Le marché, lui, passera à un autre titre dès qu’un chiffre de prix bougera plus fort. Les adresses, pourtant, resteront là, publiques, patientes. C’est la particularité de ces affaires. Elles vieillissent mal dans le fil d’actualité. Elles vieillissent très bien dans les explorateurs de blocs. Et c’est précisément pour cela que le premier swap vers l’ether méritait d’être raconté sans enfler, sans omettre les échecs, et sans laisser croire qu’un protocole d’échange aurait, à lui seul, refermé ou effacé un vol de cette taille.

Garder Le Fil Sans Se Perdre Dans Le Bruit

Dans les heures qui ont suivi les premiers messages de Thorn, le risque habituel des réseaux a resurgi : captures d’écran isolées, montants arrondis n’importe comment, confusion entre les vagues, accusations lancées contre tel protocole ou tel fabricant comme s’il s’agissait d’un seul et même acte. Relire les faits dans l’ordre protège contre ce bruit. Une faille de génération. Plusieurs exploitants possibles. Un stock majoritairement immobile. Puis, pour une fraction d’une vague, un essai de conversion interchaînes vers l’ether.

Cette sobriété n’empêche pas la gravité. Plus de mille sept cents bitcoin, des milliers d’adresses, des foyers qui découvrent qu’une phrase soigneusement recopiée ne valait plus rien face à un calcul distant. La gravité est là. Elle n’a pas besoin d’être décorée. Elle a besoin d’être datée, chiffrée, et suivie. Le 3 septembre 2026, le dossier a changé d’état : d’un vol surtout statique, il est devenu, au moins pour une part, un vol en mouvement. La suite s’écrira dans les traces que ce mouvement voudra bien laisser.