Community Trust ScoreVérifié
Un vol massif. Coldcard, fabricant de portefeuilles matériels réputés dans l’écosystème Bitcoin, vient de confirmer la perte de 2 000 bitcoins — soit plus de 100 millions de dollars — directement liée à une faille de sécurité dans son propre firmware. L’incident a été rendu public le 31 juillet.
La faille remonte à mars 2021. Pendant des années, personne n’a rien vu — ou du moins, rien n’a été dit. Le problème touche la génération des phrases de récupération de 24 mots, ce mécanisme fondamental qui permet à un utilisateur de récupérer l’accès à ses fonds si son appareil est perdu ou cassé. Sauf que là, la façon dont Coldcard générait ces phrases rendait les clés privées associées plus faciles à deviner pour quelqu’un qui savait où chercher. Des acteurs malveillants ont visiblement su où chercher. Résultat : 2 000 bitcoins partis.
Pas de récupération en vue.
Jonathan Goodman et 1,6 million de dollars envolés
Jonathan Goodman, entrepreneur, fait partie des victimes identifiées. Il a perdu 1,6 million de dollars en bitcoins. Son cas n’est probablement pas isolé — la faille a touché un nombre indéterminé d’utilisateurs, et le montant total volé laisse penser que plusieurs portefeuilles ont été vidés. Coldcard a demandé à ses clients de créer de nouvelles clés privées renforcées et de transférer leurs fonds vers de nouvelles adresses. Vite.
C’est le genre de recommandation qui arrive toujours trop tard pour certains.
La situation relance un vieux débat dans la communauté crypto : est-ce qu’on est vraiment plus en sécurité avec un portefeuille froid qu’avec une plateforme centralisée ? La réponse honnête, c’est que ça dépend — et que les deux options ont leur lot de catastrophes.
Self-custody vs plateformes centralisées : le vrai bilan
Un rapport de 2025 donne des chiffres qui font réfléchir. Depuis 2010, 1,57 million de bitcoins ont été perdus via des portefeuilles en autoconservation. Sur les plateformes d’échanges centralisées, c’est 1,51 million. Les deux chiffres sont proches. Trop proches pour que l’un soit clairement « plus sûr » que l’autre sur le long terme.
Les plateformes centralisées, c’est pratique. Interface simple, support client, récupération de compte si tu perds ton mot de passe. Mais elles ont aussi leurs propres désastres : piratages massifs, faillites soudaines, fermetures forcées. En Europe, les récents règlements MiCA ont poussé plusieurs bourses crypto à fermer leurs portes, laissant des utilisateurs sans accès à leurs fonds pendant des semaines.
Les portefeuilles froids, eux, c’est l’idéologie Bitcoin pure : « Not your keys, not your coins. » Tu contrôles tout. Personne d’t autre ne peut bloquer tes fonds. Mais tu portes aussi toute la responsabilité — et si le firmware de ton appareil a une faille depuis 2021, tu n’en sais rien jusqu’au jour où ton solde est à zéro.
Coldcard n’est pas le premier fabricant à avoir ce genre de problème. En 2020, Ledger — l’entreprise française — a subi un piratage qui a exposé les données personnelles de plus de 273 000 clients. Adresses physiques, soldes, informations de contact. Ça a entraîné une série d’attaques contre des détenteurs de portefeuilles, notamment en France. Différent techniquement — c’était une fuite de données, pas une faille de génération de clés — mais le résultat concret pour les victimes était tout aussi brutal.
Ça change vite, ce secteur. Et pas toujours dans le bon sens.
Le problème avec les portefeuilles matériels, c’est que les utilisateurs leur font confiance précisément parce qu’ils sont censés être la solution ultime. Hors ligne, physique, impossible à pirater à distance. Sauf que « hors ligne » ne veut pas dire « sans faille ». Le firmware, lui, est bien du code. Et le code a des bugs. Là, ce bug a duré plus de quatre ans sans être détecté — ou sans être rendu public, la nuance est importante.
Pas clair encore si Coldcard savait avant le 31 juillet.
Les utilisateurs qui ont acheté un appareil Coldcard entre mars 2021 et la correction du firmware sont potentiellement exposés. La société n’a pas précisé combien d’appareils sont concernés ni combien de portefeuilles ont été compromis au total. Le chiffre de 2 000 bitcoins volés est celui qui circule, mais la source ne donne pas de détail sur le nombre de victimes individuelles au-delà du cas Goodman.
Ce qu’on sait : la phrase de récupération de 24 mots est le cœur de tout système de portefeuille HD. Si la façon dont ces mots sont générés est prévisible — même légèrement — un attaquant avec assez de puissance de calcul peut tester des combinaisons jusqu’à trouver la bonne. C’est exactement ce qui semble s’être passé ici. La faille ne permettait pas un accès direct. Elle rendait la devinette faisable. Nuance technique, conséquence identique.
Coldcard a demandé à ses utilisateurs de migrer leurs fonds. Jonathan Goodman, lui, a perdu 1,6 million de dollars.
Questions Fréquentes
Quelle faille a permis le vol des bitcoins chez Coldcard ?
Une faille dans le firmware de Coldcard, présente depuis mars 2021, affectait la génération des phrases de récupération de 24 mots et rendait les clés privées plus faciles à deviner pour des acteurs malveillants.
Que doivent faire les utilisateurs de Coldcard après cet incident ?
Coldcard a demandé à ses clients de créer de nouvelles clés privées renforcées et de transférer leurs bitcoins vers de nouvelles adresses pour sécuriser leurs fonds.
Combien de bitcoins ont été volés et quelle est leur valeur ?
Environ 2 000 bitcoins ont été dérobés, pour une valeur de plus de 100 millions de dollars au moment de la révélation de l’incident le 31 juillet.
