Le piratage de Coldcard vide 89 M$ de BTC en raison d'une vulnérabilité du firmware

La faille du Coldcard a révélé une faille critique dans l’un des portefeuilles matériels les plus fiables de Bitcoin. Pendant trois vagues d’attaque, les attaquants ont exploité une génération faible de seed dans les firmwares affectés et ont vidé environ 1 367 BTC, d’une valeur d’environ 89 millions de dollars, depuis des milliers d’adresses.

Contrairement à une arnaque de phishing typique ou une violation de plateforme d'échange, cette attaque ciblait le processus interne de génération de clés du wallet. Plus précisément, un bogue du firmware vieux de cinq ans produisait des seeds avec une randomité insuffisante, permettant aux attaquants de reconstituer les clés privées hors ligne et de vider les fonds des utilisateurs. Par conséquent, cet article explique comment la vulnérabilité fonctionnait, quels modèles Coldcard sont concernés, et ce que les utilisateurs affectés doivent faire ensuite.

Le 30 juillet 2026, le piratage de Coldcard a commencé lorsqu'un attaquant inconnu a commencé à vider des bitcoins à partir de wallets matériels Coldcard. Lors de la première vague, 594 BTC, d'une valeur d'environ 38 millions de dollars, ont disparu de près de 500 wallets en seulement 25 minutes. L'attaquant a ciblé en premier les wallets à la plus forte valeur. Une deuxième vague a porté les pertes à 1 082 BTC, soit environ 70 millions de dollars, répartis sur 1 196 adresses en 41 minutes. Au 2 août, trois vagues d'attaque avaient vidé un total de 1 367 BTC, d'une valeur d'environ 89 millions de dollars, à partir de 4 585 adresses.

L'attaquant n'a pas sélectionné les wallets au hasard. Selon Chainalysis, l'opérateur a priorisé les cibles les plus riches et a collecté plus de 30 millions de dollars au cours des 10 premières minutes. Un seul wallet a perdu environ 1,8 million de dollars. Ce schéma suggère que l'attaquant avait déjà identifié des adresses précieuses et a exécuté le vol selon une séquence délibérée.

Pendant ce temps, la vague plus large s'est poursuivie pendant près de 30 heures avant que Coinkite ne publie son premier avertissement public. Galaxy Research a ensuite identifié environ 600 adresses d'attaquants présumées et les a signalées aux enquêteurs. La société de recherche a également observé des schémas opérationnels similaires lors des deux premières vagues, tandis que la troisième vague utilisait des méthodes de collecte différentes.

Plus important, le piratage de Coldcard n'était pas une attaque d'hameçonnage, une violation de plateforme d'échange ni un cas de vol physique des clés privées des utilisateurs. L'attaquant n'avait jamais besoin d'un accès direct aux appareils Coldcard concernés. Au lieu de cela, les wallets ont généré des seeds faibles lorsque les utilisateurs les ont initialisés, ce qui a permis à l'attaquant de reconstituer les clés privées hors ligne.

Cette distinction rend l'incident particulièrement grave. Les utilisateurs ont acheté des appareils Coldcard pour isoler leurs clés Bitcoin des menaces en ligne. Toutefois, le matériel a généré ces clés avec une insuffisance de randomisation. Autrement dit, le produit conçu pour protéger les utilisateurs a lui-même créé la vulnérabilité. L'échec de sécurité existait dès la génération des seeds des portefeuilles concernés.

Imagineriez-vous acheter une serrure à haute sécurité qui promet de générer chaque combinaison à l’aide d’un générateur physique aléatoire ? Au lieu de cela, le fabricant installe une formule prévisible qui produit des combinaisons à partir d’un ensemble limité d’entrées. Dès qu’une personne découvre cette formule, elle peut tester chaque combinaison possible jusqu’à en trouver la vôtre. C’est essentiellement ainsi que le piratage du Coldcard est devenu possible.

Le 1er mars 2021, un seul commit de code a modifié la fonction responsable de la génération des seeds de wallet. À l'origine, ckcc.rng_bytes collectait une vraie aléatoire à partir du générateur de nombres aléatoires matériels intégré au puce STM32 de l'appareil. Toutefois, les développeurs l'ont remplacé par ngu.random.bytes, un générateur de nombres pseudo-aléatoires logiciel qui reposait sur des entrées déterministes.

Plus précisément, le PRNG logiciel utilisait le numéro de série de l'appareil, les valeurs du minuteur interne et l'historique des appels précédents au RNG. Le micrologiciel traitait ensuite ces entrées avec le hachage cryptographique SHA256d. Bien que le hachage puisse brouiller des données existantes, il ne peut pas créer de nouvelle aléatoire. Par conséquent, si le système commence avec seulement 2^40 entrées possibles, il ne peut toujours produire que 2^40 sorties possibles.

En conséquence, les appareils Mk3 affectés ont généré des seeds avec environ 40 bits d'entropie. Pendant ce temps, les appareils Mk4, Mk5 et Q ont reçu une entrée supplémentaire provenant d'un élément sécurisé, ce qui a augmenté leur entropie effective à environ 72 bits. Toutefois, les deux chiffres restaient en dessous du niveau de sécurité de 128 bits attendu pour la génération de seeds Bitcoin.

Le PDG de Foundation Devices, Zach Herbert, a déclaré que le bogue est entré lors d'une réécriture majeure du micrologiciel en mars 2021, qui a remplacé le code GPL restant par de nouvelles bibliothèques cryptographiques. Autrement dit, ce changement faisait partie d'une révision de la licence plutôt que d'une décision délibérée en matière de sécurité.

Malgré cela, le code défectueux est resté actif pendant cinq ans. Coinkite a effectué une audit de firmware assisté par IA quelques semaines seulement avant l'attaque, mais l'examen n'a pas permis d'identifier le problème. De plus, plusieurs mises à jour du firmware, y compris des versions axées sur la sécurité, l'ont également manqué.

Finalement, le wallet aurait dû utiliser une source physique de aléatoire pour générer des clés imprévisibles. Au lieu de cela, il a utilisé une formule limitée et prévisible. Une fois que l’attaquant a compris cette formule, il a pu commencer à reconstituer les seeds des utilisateurs et effectuer le piratage Coldcard.

L'attaquant derrière le piratage de Coldcard n'avait pas besoin de voler un appareil ni d'y se connecter à distance. Au lieu de cela, l'attaquant pouvait estimer des variables clés telles que l'UID de l'appareil, l'état du minuteur et la séquence des appels précédents au RNG. Avec ces contraintes, l'attaquant pouvait reconstituer entièrement en hors ligne les flux de semences possibles.

Ensuite, l'attaquant a converti chaque graine candidate en adresses Bitcoin et les a comparées avec les données publiques de la blockchain. Ce processus fonctionne comme essayer des combinaisons sur un cadenas. Avec environ 40 bits d'entropie, les graines affectées provenaient d'un ensemble d'environ un billion de possibilités. Bien que ce chiffre semble élevé, le matériel informatique moderne peut explorer un tel espace dans un délai pratique, surtout lorsque l'attaquant réduit l'ensemble cible.

L'attaquant s'est probablement concentré sur les adresses associées aux seeds Coldcard créées pendant la période vulnérable de 2021 à 2026. À partir de là, l'attaquant a généré des seeds candidates, en a dérivé les adresses correspondantes et a recherché des correspondances sur la blockchain. Une fois qu'une seed candidate produisait une adresse contenant du bitcoin, l'attaquant prenait le contrôle de la clé privée correspondante et transférait les fonds. Ainsi, ce processus par force brute constituait le cœur de la faille Coldcard.

Par ailleurs, Galaxy Research a constaté que les vagues 1 et 2 pourraient partager le même opérateur. Toutefois, la vague 3 a montré un comportement différent sur la chaîne. En conséquence, un autre attaquant pourrait avoir découvert et exploité indépendamment la vulnérabilité.

Les appareils Mk4, Mk5 et Q avaient une entropie plus forte, d'environ 72 bits. Toutefois, ils restaient en dessous de la norme attendue de 128 bits. Block a décrit la conception comme une « structure dangereuse en échec ouvert » car certaines conditions de démarrage pouvaient réduire la recherche à seulement 2^32 valeurs possibles. Les attaquants n'ont pas encore exploité cette vulnérabilité à grande échelle. Même ainsi, la structure restante montre que les appareils concernés n'ont pas fourni le niveau de randomisation que les utilisateurs attendaient d'un wallet matériel.

La faille Coldcard affecte chaque modèle différemment selon la version du micrologiciel ayant généré la graine du wallet. Les appareils Mk2 et Mk3 sont les plus à risque, car le micrologiciel affecté a produit des graines avec seulement environ 40 bits d'entropie. En revanche, les appareils Mk4, Mk5 et Q ont reçu une entropie supplémentaire provenant d'un élément sécurisé, ce qui a porté leur sécurité effective à environ 72 bits. Toutefois, ce niveau restait encore inférieur à la norme de 128 bits attendue pour la génération de graines bitcoin.

Il est crucial que la version du micrologiciel installée au moment où l'appareil a créé la graine détermine si un utilisateur est exposé à la faille de Coldcard. La version actuelle du micrologiciel ne modifie pas la sécurité d'une graine existante. Par exemple, un utilisateur qui a généré une graine sur un micrologiciel vulnérable et qui a ensuite mis à jour l'appareil détient toujours une graine faible. La faiblesse réside dans le nombre déjà généré par l'appareil. Par conséquent, une mise à jour du micrologiciel ne protège que la génération future de graines. Elle ne peut pas réparer les anciennes graines ni rendre leurs adresses associées sûres.

Cependant, les utilisateurs ayant effectué au moins 50 lancers de dés indépendants et privés lors de la configuration de la graine ont ajouté une source externe d'entropie réelle. Cette randomisation supplémentaire annule la faiblesse du RNG logiciel de l'appareil. En conséquence, ces utilisateurs encourent un risque minimal lié à cette vulnérabilité spécifique. Une phrase de passe BIP-39 robuste rend également les attaques par force brute plus difficiles, mais elle ne renforce ni ne répare la graine sous-jacente. Par conséquent, Coinkite recommande toujours de migrer les fonds générés à partir du micrologiciel affecté.

Enfin, la faille du Coldcard n'affecte pas tous les wallets matériels. Trezor, Ledger et Block, qui produit le Bitkey, ont confirmé que leurs produits utilisent des systèmes différents de génération d'entropie. Par conséquent, cette défaillance spécifique du firmware n'affecte pas les seeds créés par ces appareils.

Suite au piratage de Coldcard, Coinkite a publié son premier avis de sécurité le 30 juillet et le 31 juillet, environ 30 heures après le début du premier prélèvement. L'entreprise a ensuite publié des firmwares corrigés pour chaque modèle concerné, notamment la v4.2.0 pour le Mk3, la v5.6.0 pour le Mk4 et le Mk5, et la v1.5.0Q pour le Q. En outre, Coinkite a publié une analyse technique de la vulnérabilité et fourni un guide de migration pour aider les utilisateurs à déplacer leurs fonds loin des semences faibles.

De plus, Coinkite a mis à jour son avis le 1er août pour reconnaître que les appareils Mk4, Mk5 et Q ont également subi une réduction de l'entropie. Bien que les attaquants aient principalement ciblé les seeds Mk2 et Mk3 lors du piratage de Coldcard, les modèles ultérieurs sont toujours en dessous de la norme de sécurité attendue de 128 bits. En révélant la portée plus large et en publiant des correctifs pour toutes les lignes de produits concernées, Coinkite a offert aux utilisateurs une voie plus claire pour sécuriser leur bitcoin.

Cependant, la réponse a également suscité des critiques légitimes. Le bogue est resté en production pendant cinq ans malgré des revues internes, des versions de firmware axées sur la sécurité et une audit assisté par l’IA effectué peu avant l’attaque. Plus important encore, le transfert a continué pendant près de 30 heures avant que Coinkite n’émette son premier avertissement public. En conséquence, les utilisateurs concernés n’ont reçu aucune information officielle pouvant les aider à migrer leur bitcoin avant que l’attaquant n’atteigne leurs wallets.

Entre-temps, les circonstances entourant le changement de code original ont soulevé davantage de questions. Zach Herbert, PDG de Foundation Devices, affirme que le bogue est entré lors d'une révision de la licence, et non lors d'une refonte axée sur la sécurité. Par conséquent, cet incident a suscité un examen approfondi de la manière dont Coinkite a géré les risques de sécurité pendant la réécriture de 2021. De même, le chercheur en sécurité Wizardsardine Kevin Loaec déclare que les utilisateurs devraient considérer les configurations multisig contenant des clés Coldcard affectées comme exposées, une question que l'avis de Coinkite ne traite pas pleinement.

Finalement, Coinkite a publié des correctifs fonctionnels, des détails techniques et des instructions de migration après que le piratage de Coldcard soit devenu public. Néanmoins, ces actions ne effacent pas l'échec de détection de cinq ans ni l'avertissement retardé qui ont empêché certains utilisateurs de protéger leurs fonds à temps.

Mettre à jour votre Coldcard firmware seul ne sécurisera pas un wallet existant. Le firmware vulnérable a déjà généré une graine faible, et cette faiblesse reste intégrée dans la graine elle-même. Par conséquent, les utilisateurs concernés doivent créer une nouvelle graine et transférer leur bitcoin vers des adresses dérivées de celle-ci. La notice de Coinkite et le guide de Shinobi sur Bitcoin Magazine recommandent le processus de migration suivant.

1. Mettez à jour votre firmware Coldcard. Installez le dernier firmware corrigé disponible pour votre modèle Coldcard et votre canal de publication. Vérifiez que vous avez téléchargé le firmware depuis le site officiel de Coinkite avant de l’installer.
2. Générez une toute nouvelle seed. Créez la seed sur l'appareil mis à jour, et non en import ou restauration de l'ancienne. Pour une entropie supplémentaire, envisagez d'utiliser au moins 50 lancers de dés indépendants et privés lors de la génération de la seed.
3. Vérifiez la nouvelle sauvegarde de la graine. Notez les nouveaux mots de la graine dans le bon ordre et terminez le processus de vérification sur l'appareil. Ensuite, générez une adresse de réception et confirmez que l'adresse affichée dans votre logiciel de wallet correspond à l'adresse affichée sur l'écran du Coldcard.
4. Transférez tous les bitcoin vers le nouveau wallet. Envoyez tous les soldes BTC contrôlés par l'ancienne graine vers les adresses dérivées de la nouvelle graine générée. Vérifiez soigneusement l'adresse de destination et les détails de la transaction sur le Coldcard avant de signer.
5. Confirmez la migration. Utilisez un Explorateur de blocs Bitcoin fiable pour vérifier que les transactions ont été confirmées. Ensuite, vérifiez que les anciennes adresses ne contiennent plus de bitcoin et que le nouveau wallet affiche le solde transféré complet.
6. Détruisez en toute sécurité l’ancienne sauvegarde de la graine. Ne détruisez l’ancienne sauvegarde qu’après que chaque transfert ait été confirmé et que vous ayez vérifié l’accès au nouveau wallet. Supprimez toutes les copies physiques et numériques de la graine compromise afin que personne ne puisse la réutiliser.

Ne mettez pas à jour le firmware et ne supposez pas que le wallet existant est devenu sûr. La mise à jour corrige la génération future des seed, mais ne peut pas renforcer un seed que l'appareil a précédemment créé. De plus, chaque migration nécessite une transaction Bitcoin sur la chaîne, donc les utilisateurs doivent prendre en compte les frais de réseau et éviter de choisir un frais excessivement bas lors d'un transfert urgent.

Les utilisateurs de multisig font face à une complication supplémentaire. Chaque clé dérivée d'une graine Coldcard affectée doit être remplacée. Les utilisateurs doivent vérifier le seuil de signature du wallet, remplacer chaque clé vulnérable et vérifier la nouvelle configuration multisig avant de déplacer des fonds importants.

La auto-gestion dépend de deux exigences de sécurité distinctes. Tout d'abord, les utilisateurs doivent contrôler leurs clés privées. Ensuite, les wallets doivent générer ces clés à l'aide d'une aléatoire authentique et de haute qualité. Les entreprises de wallets matériels ont traditionnellement mis l'accent sur la première exigence, car elle soutient le principe familier de « pas tes clés, pas tes pièces ». Toutefois, elles ont beaucoup moins souvent abordé la deuxième exigence. Comme le montre l'exploit Coldcard, les utilisateurs peuvent entièrement contrôler leurs clés et perdre quand même des fonds si l'appareil a généré ces clés à partir d'entrées prévisibles.

De plus, cet incident marque le troisième échec majeur de générateur de nombres pseudo-aléatoires dans le domaine de la cryptomonnaie ces dernières années, après Milk Sad en 2023 et Ill Bloom en 2026. Dans chaque cas, l'échec s'est produit lors de la génération des clés, un processus que les utilisateurs ordinaires ne pouvaient pas vérifier indépendamment. Une interface de wallet peut afficher une phrase secrète valide et produire des adresses fonctionnelles tout en s'appuyant sur une entropie dangereusement faible en dessous. Par conséquent, les utilisateurs ne peuvent découvrir le problème qu'après qu'un attaquant ait reconstitué la phrase secrète et déplacé les fonds.

En même temps, cet incident complique le débat autour des portefeuilles matériels open-source et closed-source. Coldcard met son code source firmware à disposition du public, bien qu'il ne publie pas le logiciel sous une licence open-source permissive complète. Les développeurs auraient pu inspecter le code vulnérable, mais la faille est restée indétectée pendant cinq ans. Ainsi, un code public ne garantit pas un code sécurisé. Néanmoins, la disponibilité du code reste nécessaire pour une audit communautaire significative, car les chercheurs ne peuvent pas inspecter un logiciel qu'ils ne peuvent pas accéder.

Dans le même temps, CoinDesk a rapporté que l'exploitation pourrait pousser certains investisseurs vers les ETF de bitcoin. Les ETF éliminent les risques opérationnels liés à la génération, au stockage et à la protection des clés privées. Toutefois, les investisseurs remplacent ces risques par une dépendance à un custodien réglementé et à une institution financière. Autrement dit, ce compromis ne supprime pas le risque de garde. Il transfère simplement la responsabilité du détenteur individuel à un fournisseur institutionnel.

Enfin, Blockaid a constaté que les clés compromises et les défaillances de sécurité opérationnelle ont causé la majorité des pertes de crypto pendant le premier semestre 2026, plutôt que les exploitations de contrats intelligents. Dans ce contexte, l’incident Coldcard s’inscrit dans le schéma plus large, car l’attaquant a ciblé le processus de génération des clés au lieu d’exploiter le bitcoin lui-même. Le stockage à froid reste le bon choix pour la plupart des détenteurs de bitcoin à long terme. Mais « à froid » ne signifie pas « infaillible ». Faites confiance au principe. Vérifiez la mise en œuvre.

Cet article est uniquement à des fins informatives et éducatives et ne constitue pas un conseil financier, d'investissement, juridique ou de sécurité. Effectuez toujours vos propres recherches avant de prendre des décisions liées aux crypto-monnaies.