Piratage de portefeuilles Coldcard : 1 359 BTC dérobés, le plus important vol de bitcoin de 2026

Selon BlockBeats (3 août), les dernières données indiquent que 1 359 bitcoins ont été volés dans le cadre du piratage visant les portefeuilles matériels Coldcard. Des utilisateurs signalent aussi des dysfonctionnements après installation de mises à jour : appareils bloqués sur des pages d'erreur, incapables de démarrer ou semblant hors d'usage. L'affaire est désormais considérée comme le plus grand vol de bitcoin de l'année. BlockBeats a reconstitué la chronologie suivante. Des analyses montrent que le code du firmware Coldcard compromis a été publié en mars 2021. La faille serait restée présente dans le code open source pendant plus de cinq ans, affectant la génération de seed sur Mk3 (et certains Mk2), ainsi que les modèles Mk4, Q et Mk5 antérieurs au correctif. Des attaques à grande échelle exploitant cette vulnérabilité se seraient poursuivies jusqu'au 30 juillet 2026. Sur une fenêtre d'environ 25 à 41 minutes, les attaquants ont automatisé des "sweeps" visant des centaines à des milliers d'adresses. Dans un premier temps, environ 500 portefeuilles à signature unique et 1 324 UTXO, pour un total d'environ 594,5 BTC, auraient été compromis. Une analyse on-chain ultérieure a élargi le périmètre à près de 1 196 adresses et 1 082,65 BTC (valorisés à environ 70,2 millions de dollars). L'attaque aurait privilégié les adresses aux soldes les plus élevés, appliqué des frais fixes élevés et généré des transactions sans sortie de rendu, afin de regrouper rapidement les fonds vers un petit nombre d'adresses. Coinkite, développeur de Coldcard, a ensuite publié un avis de sécurité confirmant dans un premier temps que le problème de génération de seed concerne le Mk3 (firmware 4.0.1 et versions ultérieures). L'entreprise recommande aux utilisateurs concernés de migrer avec prudence et avance que des attaquants pourraient avoir utilisé l'IA pour auditer le code open source et repérer la faille. Au 2 août, Alex Thorn, responsable de la recherche chez Galaxy, a indiqué que les attaques autour des portefeuilles Coldcard continuaient d'évoluer, avec l'apparition de davantage de petits attaquants et d'imitateurs cherchant à cibler les phrases mnémoniques Coldcard restantes. L'incident suscite de nombreuses réactions. Eric Balchunas, analyste ETF senior chez Bloomberg, a révélé que l'équipe Coldcard ne compte que cinq employés, un effectif jugé étonnamment réduit pour une société de cette importance. CZ a commenté : "Dans un modèle d'auto-conservation, même si les développeurs corrigent la vulnérabilité, ils ne peuvent pas réparer les portefeuilles déjà générés ; pour les utilisateurs qui emploient des appareils isolés, les développeurs ne peuvent pas les contacter ni les alerter directement. Tant que les utilisateurs n'agissent pas de manière proactive, les portefeuilles concernés peuvent rester exposés. Je soutiens l'auto-conservation, mais cela signifie aussi que les utilisateurs assument l'entière responsabilité de leur sécurité." Alors que l'affaire pourrait impliquer une compromission de dispositifs cryptographiques via l'IA, la plateforme de conservation institutionnelle BitGo a été la première à prendre une initiative présentée comme visant à restaurer la réputation du secteur. Le 1er août, le PDG de BitGo, Mike Belshe, a déposé 100 BTC sur une adresse Bitcoin accessible publiquement et a invité le modèle Claude d'Anthropic à tenter de transférer les fonds. La plateforme s'appuie sur des technologies de multisignature ou de calcul multipartite pour répartir le pouvoir de signature entre plusieurs clés indépendantes. Au 2 août, Anthropic n'avait pas répondu publiquement à ce défi. Dans ce contexte, le bitcoin est resté sous pression depuis le 31, reculant de 65 000 $ à 63 000 $.