Bitcoin & Coldcard : la conservation n'est pas un examen de vertu

information fournie par CoinShares •07/08/2026 à 16:59

CoinShares

Une faille logicielle vieille de cinq ans a coûté plus de 100 millions de dollars en bitcoins. Le sujet est opérationnel, pas idéologique, d'après CoinShares.

Le 30 juillet, un attaquant a commencé à vider des adresses bitcoin générées par Coldcard, un portefeuille physique dédié au bitcoin fabriqué par la société canadienne Coinkite. La première vague a emporté environ 594 BTC depuis quelque 500 portefeuilles en 25 minutes.* Au 4 août, Galaxy Research estimait avec un haut degré de confiance que 1 596 BTC avaient été dérobés depuis environ 7 300 adresses, au fil de trois vagues confirmées et de 14 incidents plus petits, soit plus de 100 millions de dollars. En intégrant une quatrième vague soupçonnée mais non confirmée, le total pourrait atteindre 2 055 BTC, soit environ 130 millions de dollars. Au moins 15 attaquants indépendants ont exploité la même faille, toujours active.**

Aucun hameçonnage, aucun appareil volé. L'avis de sécurité de Coinkite fait remonter le problème à une modification du micrologiciel en mars 2021, qui a confié la génération des clés à un générateur aléatoire logiciel prévisible au lieu du composant matériel prévu. L'éventail des clés possibles s'est ainsi suffisamment resserré pour qu'un attaquant puisse les reconstituer hors ligne, sans jamais toucher l'appareil. Seuls les portefeuilles à signature unique sont concernés. Coinkite a publié la liste des modèles et versions touchés .***

Le détail qui compte

Un micrologiciel corrigé a été publié le 31 juillet, mais aucun correctif ne répare une clé déjà générée : il faut en créer une nouvelle et déplacer ses fonds. Une minorité de configurations, créées avec suffisamment d'entropie indépendante et privée, échappent au problème.***

Le plus dérangeant, c'est le profil des victimes. La faille a touché des détenteurs qui avaient lu les arguments, acheté un appareil respecté et sorti leurs bitcoins des plateformes. Le défaut est resté invisible plus de cinq ans, et rien dans leur comportement ne pouvait le révéler.

La réaction du marché a inversé le schéma FTX. Fin 2022, les détenteurs retiraient leurs coins des plateformes. Cette fois, ils les y ont renvoyés. CryptoQuant a relevé 39 600 BTC déplacés en transferts inférieurs à 1 BTC le 31 juillet, tout près des 39 900 BTC du 16 novembre 2022, quelques jours après le dépôt de bilan de FTX.****

La conservation, un choix complexe

Garder ses bitcoins soi-même, ou passer par un produit coté en bourse ? La question ressurgit à chaque incident. Parfois, ceux qui ont bâti cet écosystème refusent eux-mêmes de trancher.

Nous l'avons posée à Adam Back l'an dernier. Ce cryptographe, aujourd'hui PDG de Blockstream, fait partie des rares chercheurs dont les travaux sont cités dans le livre blanc de Bitcoin. Sa réponse : « Les deux. J'ai utilisé les deux en fait. Les ETF permettent une intégration au portefeuille et des avantages en matière de prêt. Mais la garde autonome est essentielle pour préserver la décentralisation et l'immutabilité. » Il avait prévenu plus tôt dans l'entretien que « l'auto-conservation ne convient pas à tout le monde ».*****

Même prudence chez David Marcus , ancien président de PayPal passé ensuite par Meta et fondateur de Lightspark. S'il défend ouvertement l'auto-conservation, il nuance cette méthode : « Je pense que la meilleure façon de le faire est une combinaison de services de conservation proposés par des entités de confiance et d'auto-conservation. »******

Eric Balchunas , spécialiste des ETF chez Bloomberg, pointe un obstacle plus prosaïque : les portefeuilles physiques restent selon lui trop compliqués, et il attend qu'ils se simplifient avant d'envisager l'auto-conservation.*******

Ce qu'un ETP règle, et ce qu'il ne règle pas

Un ETP ne supprime pas le risque lié aux clés. Il le déplace vers un dépositaire professionnel, avec génération de clés institutionnelle, signatures multiples, audits et assurance, et remplace un point de défaillance silencieux par une contrepartie responsable. En échange, l'investisseur accepte un risque d'émetteur et de dépositaire, des frais de gestion et l'absence de transaction sur la blockchain. C'est un arbitrage, pas une amélioration nette.

Et une faille ne clôt pas le débat. Peter Todd, développeur historique de Bitcoin, résume la thèse inverse : « L'auto-conservation affiche un bien meilleur bilan que les tiers. » Il rappelle que la seule faillite de QuadrigaCX a coûté environ 200 millions de dollars, à peu près le double des pertes Coldcard connues au moment où il écrivait.******** Willy Woo, qui dit n'avoir rien contre les produits régulés, estime que seule l'auto-conservation confère une propriété véritablement souveraine.*********

Les deux lectures se défendent. En pratique, c'est plus compliqué : quel mode de défaillance êtes-vous en mesure de détecter, d'assurer et de surmonter ? La réalité est que pendant les cinq dernières années, les propriétaires de Coldcard n'ont jamais été en mesure d'effectuer l'une de ces trois actions.

________________________________________

Sources

1.    Crypto Economy, « Coldcard Vulnerability Turns "Impossible to Guess" Seeds Into Guessable Ones, Draining 594 BTC », 31 juil. 2026
2.    Galaxy Research, via The Block, « Bitcoin losses from Coldcard hack could swell to $130 million », 4 août 2026
3.    Coinkite, « Coldcard Security Advisory », mis à jour le 1er août 2026
4.    CryptoQuant et Timechainindex, via CoinDesk, 2 août 2026
5.    Entretien CoinShares, Adam Back, PDG de Blockstream, 23 mai 2025
6.    Entretien CoinShares, David Marcus, PDG et fondateur de Lightspark, 13 nov. 2025
7.    Entretien CoinShares, Eric Balchunas, analyste ETF senior, Bloomberg, 11 juil. 2025
8.    Peter Todd, publication sur X, 3 août 2026 (propos traduits de l'anglais)
9.    Willy Woo, publication sur X, via The Crypto Times, 3 août 2026

Les montants de pertes sont des estimations publiées par Galaxy Research, arrêtées au 4 août 2026. L'exploitation de la faille était toujours en cours à la rédaction. Les entretiens cités ont été menés en anglais puis traduits.

Les ETN cryptos comportent des risques de perte en capital importants. Leur volatilité et leur exposition à des évolutions réglementaires doivent être prises en compte. Il est rappelé que les performances passées ne préjugent pas des performances futures. Avant tout investissement, consultez le document d'informations clés et le prospectus pour évaluer si ce placement correspond à votre profil et vos objectifs financiers.