Une faille vieille de cinq ans
La récente attaque sur les portefeuilles matériels Coldcard a mis en lumière une vulnérabilité logicielle qui dormait depuis mars 2021.
La faille provenait d’un générateur de nombres pseudo-aléatoires logiciel (MicroPython), choisi par erreur au lieu du générateur matériel (TRNG) normalement utilisé pour garantir la sécurité des seeds. Les audits réalisés ces dernières années se sont contentés de vérifier la présence du TRNG, sans s’assurer qu’il était effectivement exploité dans le firmware final. Cette négligence a ouvert la voie à des attaques sophistiquées, dont la première vague majeure a eu lieu le 30 juillet dernier, avec 1 083 BTC volés sur 1 196 adresses.
Les dépôts Bitcoin explosent sur les exchanges
L’impact du bug Coldcard ne s’est pas limité aux pertes directes. Le marché a réagi avec nervosité dès le vendredi 30 juillet, date du début de l’incident : ce jour-là, les dépôts quotidiens de Bitcoin inférieurs à 10 BTC sur les plateformes d’échange ont atteint un record annuel à 7 300 BTC. Cette ruée vers les exchanges n’avait pas été observée depuis février, révélant une perte soudaine de confiance dans la sécurité des solutions d’auto-custodie matérielle.
Le lendemain, le nombre d’adresses actives quotidiennes a bondi à près d’un million, contre 645 000 la veille. Ce pic d’activité n’avait plus été vu depuis décembre 2024 et traduit la volonté des utilisateurs de déplacer rapidement leurs fonds vers des plateformes jugées plus sûres à court terme. Le volume total des transferts inférieurs à 1 BTC a également atteint un sommet à 39 600 BTC le jour même du bug.
tendu, le Bitcoin est passé sous les 63 000 $, chutant de son sommet hebdomadaire de 63 600 $ dimanche à 62 800 $ lundi.
Les altcoins suivent la chute du Bitcoin
La crise Coldcard n’a pas seulement affecté le roi des cryptos. L’ether (ETH) a reculé de plus de 1 % pour atteindre 1 858 $, soit une baisse de près de 5 % sur sept jours. D’autres grands tokens comme XRP et solana ont aussi affiché une légère contraction quotidienne (respectivement -1 % et -0,5 %), tandis que dogecoin glissait juste en dessous des 0,07 $. Seul BNB est parvenu à tirer son épingle du jeu avec une progression hebdomadaire modeste (+1,6 %).
Dans le top dix, Hyperliquid HYPE a enregistré la pire performance avec une chute hebdomadaire de près de 13 %, illustrant l’effet domino provoqué par la perte de confiance dans l’écosystème matériel sécurisé. La volatilité s’est accentuée alors que les investisseurs cherchaient où placer leurs actifs en attendant plus de clarté sur l’étendue réelle des dégâts causés par la faille Coldcard.
Voir Aussi
Pourquoi ça compte ?
Le bug Coldcard rappelle brutalement que même les solutions présentées comme ultra-sûres peuvent contenir des failles critiques pendant des années sans être détectées.
La confiance dans l’auto-custodie vacille
Au-delà des pertes financières immédiates – plus de 1 367 BTC évaporés en trois vagues majeures rien qu’en juillet – c’est toute l’idée d’auto-custodie qui est remise en cause dans la communauté crypto. Binance, principal exchange mondial, a vu son rôle renforcé au fil des jours alors que nombre d’utilisateurs rapatriaient leurs fonds vers ses services centralisés. L’entreprise ne se limite plus au simple trading spot ou dérivés : elle étend son offre aux actifs réels tokenisés (RWA), paiements et produits financiers diversifiés.
Face à cette crise, Changpeng Zhao (CZ), fondateur emblématique de Binance, a publiquement remis en question la fiabilité intrinsèque des portefeuilles matériels et l’autonomie totale prônée par certains maximalistes Bitcoin. Chez Cointelegraph.com on rapporte que Nick Percoco (Kraken) appelle désormais à des tests indépendants approfondis pour valider réellement les sources d’aléa utilisées par ces appareils – citant notamment les standards NIST SP 800‑90B ou BSI AIS‑31 comme référence technique incontournable dans d’autres secteurs sensibles.
Si plusieurs vagues d’attaques ont déjà été identifiées – dont une quatrième ayant touché récemment près de 449 BTC répartis sur plus de 700 adresses – il reste difficile d’évaluer précisément combien d’appareils Coldcard restent vulnérables aujourd’hui. La situation demeure donc incertaine pour tous ceux qui ont généré leur seed entre mars 2021 et juillet 2024 sans mise à jour corrective.
Les facteurs à surveiller
Le 31 juillet, les dépôts quotidiens de Bitcoin sur les exchanges ont atteint 7 300 BTC, un record depuis le 6 février ; si ce flux inhabituel se maintient ou s’accélère dans les prochains jours, il signalera une poursuite de la réaction des utilisateurs Coldcard à l’exploit, avec un impact immédiat sur la liquidité disponible sur les plateformes d’échange.
