COLDCARD et la seed prévisible : comment une faille vieille de cinq ans a conduit au vol de 130 M$ en BTC

Le 30 juillet 2026, une vague de retraits massifs et non autorisés de bitcoins a commencé à toucher des portefeuilles créés sur des appareils matériels COLDCARD. Début août, les analystes on-chain avaient confirmé le vol d’environ 1 596 BTC. En tenant compte d’une quatrième vague présumée, le total potentiel est estimé à quelque 2 055 BTC, soit près de 130 millions de dollars.

Cet incident se distingue des vols de cryptomonnaies habituels, et comprendre pourquoi importe davantage que le montant lui-même. Il n’y a eu ni piratage de l’appareil, ni phishing, ni fuite de clés. Les clés des utilisateurs étaient prévisibles dès la création de leur portefeuille. Voici comment cela a été possible et ce que cette affaire change.

Ce qui s’est passé : non pas un piratage, mais une prévisibilité

La différence essentielle entre cet incident et les scénarios classiques tient au fait que l’attaquant n’a obtenu aucun accès physique aux appareils, n’a contourné aucun code PIN, n’a extrait aucune clé de l’élément sécurisé et n’a installé aucun logiciel malveillant. Aucun des vecteurs habituels de compromission d’un portefeuille matériel n’est intervenu.

Voici ce qui s’est produit : les phrases seed générées par des appareils COLDCARD pendant plus de cinq ans se sont révélées calculables. L’attaque consistait à tester hors ligne, par force brute, les seeds candidates possibles, puis à comparer les adresses dérivées avec la blockchain. Lorsqu’une adresse dérivée correspondait à une adresse réelle détenant un solde, les fonds étaient transférés.

Cela modifie fondamentalement le modèle de l’incident. Lors d’un vol ordinaire, la victime est définie par son comportement : elle a cliqué sur un lien de phishing, installé un malware ou exposé ses clés. Ici, la victime est définie uniquement par la date et l’appareil sur lequel sa seed a été générée. Un utilisateur pouvait respecter parfaitement toutes les règles de sécurité et rester vulnérable, car la faille se situait au niveau même de la génération de l’aléa.

La cause profonde : un générateur qui n’en était pas un

Sur le plan technique, la cause tient à une erreur d’intégration de bibliothèque introduite le 1er mars 2021. Les appareils COLDCARD utilisent un générateur matériel de nombres aléatoires (TRNG), composant dédié à la production d’une véritable entropie. La génération des seeds devait s’appuyer sur lui.

Mais à la suite d’une erreur lors de la compilation du firmware, l’aléa n’a pas été produit par le TRNG matériel, mais par un générateur logiciel généraliste appelé Yasmarang. Il ne s’agit pas d’un générateur cryptographique. Il était initialisé à partir de valeurs prévisibles : l’identifiant de la puce et l’état des minuteries, des paramètres qu’un attaquant peut déterminer ou réduire considérablement.

L’aspect le plus dangereux de cette faille était son invisibilité totale. Le générateur matériel ne tombait pas en panne et ne signalait aucune erreur : il n’intervenait tout simplement pas dans le processus où les développeurs pensaient qu’il était utilisé. La compilation s’achevait sans avertissement, l’appareil fonctionnait normalement et les seeds paraissaient valides. Ni les utilisateurs ni les tests fonctionnels ne pouvaient détecter le problème puisque, en surface, tout fonctionnait correctement.

Comme le soulignent les analystes de Match Systems, il s’agit d’un cas d’école de la catégorie de vulnérabilités la plus dangereuse dans l’infrastructure crypto : le défaut ne réside pas dans l’algorithme cryptographique, mais dans la source d’aléa sur laquelle il repose. Un algorithme robuste fondé sur une entropie prévisible n’offre aucune protection. Vérifier a posteriori la qualité de la génération aléatoire est extrêmement difficile, et c’est précisément pourquoi de telles failles peuvent persister pendant des années.

L’ampleur de la vulnérabilité

Le périmètre confirmé comprend les appareils Mk2 et Mk3 dont les seeds ont été générées avec des firmwares datant de mars 2021 ou d’une date ultérieure. Les modèles Mk4, Mk5 et Q sont touchés dans une mesure moindre mais néanmoins significative, grâce à un mécanisme de réensemencement partiel issu de l’élément sécurisé.

Les estimations de la robustesse effective varient. Pour les anciens modèles (Mk2/Mk3), l’espace de recherche aurait pu être réduit à quelques dizaines de bits, voire moins ; dans certaines configurations, le coût pratique d’une attaque par force brute devient presque nul. Pour les modèles plus récents, l’estimation haute atteint environ 70 bits, ce qui demeure très inférieur aux 128 bits qu’une phrase seed de 12 mots est censée fournir.

Le critère pratique pour les utilisateurs est plus simple que la matrice des versions : toute seed créée sur un COLDCARD entre mars 2021 et l’installation du firmware corrigé doit être considérée comme compromise, quelle que soit la version actuellement installée sur l’appareil.

Pourquoi tant de victimes ont été touchées simultanément

L’ampleur de l’incident s’explique par la transparence de la blockchain, cette même propriété qui favorise habituellement les enquêteurs. L’attaquant n’avait pas besoin de vérifier l’activité de chaque candidate générée. Il lui suffisait de comparer un vaste ensemble d’adresses dérivées avec l’ensemble des adresses détenant un solde.

L’attaque devient ainsi particulièrement efficace contre des portefeuilles anciens et approvisionnés, ce qui explique pourquoi de nombreux propriétaires sans aucun lien entre eux ont perdu leurs fonds au même moment. Leur seul point commun était l’appareil et la période de génération de leur seed.

Qui se trouve derrière l’attaque

À ce stade, aucune attribution n’a été établie et la précision des termes est essentielle. Les différences dans la construction des transactions entre les vagues de retraits indiquent l’existence de plusieurs opérateurs indépendants, et non d’un unique « pirate de COLDCARD ». Selon notre évaluation, on pourrait distinguer au moins quinze acteurs, dont certains ont probablement rejoint l’opération après la première vague.

L’hypothèse de travail est la suivante : un premier opérateur a découvert la faille et commencé à l’exploiter ; les informations relatives à l’espace de recherche disponible se sont ensuite diffusées, ou ont été reproduites indépendamment à partir du code open source en peu de temps. Le code source du firmware de COLDCARD est public, conformément à l’esprit open source de l’industrie du bitcoin, mais cette transparence a ici abaissé la barrière d’entrée pour les opérateurs suivants.

Mouvement des fonds et perspectives de récupération

Il faut rester lucide, car la transparence de la blockchain est souvent assimilée à tort à la possibilité de récupérer les fonds.

Un élément joue en faveur de l’enquête : les fonds volés n’ont, pour l’essentiel, pas fait l’objet d’un blanchiment agressif. La majorité des BTC a été regroupée sur un nombre limité d’adresses contrôlées par les attaquants, sans dispositifs de dissimulation à plusieurs niveaux. Le parcours depuis l’adresse de la victime jusqu’à l’adresse de consolidation, en passant par la transaction de vol, est directement traçable. Environ 600 adresses attribuées à des attaquants présumés ont été transmises aux enquêteurs fédéraux et aux sociétés de conformité.

Ce qui limite les perspectives — et il faut le dire clairement — est que le bitcoin ne possède aucun mécanisme de gel par l’émetteur analogue à celui que Tether applique à l’USDT. La traçabilité ne se transforme pas, à elle seule, en récupération. De véritables leviers n’apparaissent que dans deux scénarios : une tentative de retrait via une plateforme d’échange ou un service soumis au KYC, où un blocage devient possible, ou une saisie par les forces de l’ordre. Tant que les fonds restent immobiles, aucun de ces leviers n’est actif.

Les premiers épisodes de blanchiment ont déjà été relevés : des dépôts dans Wasabi et Tornado Cash début août, dont certains via des infrastructures cross-chain. Ils ne représentent toutefois qu’une part négligeable du volume total. Conserver d’importantes sommes sans les déplacer est une stratégie rationnelle qui peut durer des années.

La position de Match Systems est la suivante : dans cet incident, la qualité de l’attribution reste élevée et les conditions sont favorables pour assurer la surveillance, alerter rapidement les plateformes et préparer les signalements aux autorités. Mais la probabilité d’une récupération effective dépend du comportement futur des opérateurs et ne peut, à ce stade, être raisonnablement quantifiée. Toute personne qui promettrait aux victimes une récupération garantie dans cette situation les induirait en erreur.

Enseignements pour le secteur

L’incident COLDCARD n’est pas l’histoire d’un mauvais portefeuille matériel. COLDCARD demeure l’un des appareils les plus respectés de l’écosystème bitcoin, et la réaction rapide du fabricant — avec la publication de correctifs en une journée — le confirme. C’est l’histoire de la fragilité fondamentale de la génération de l’aléa et de la manière dont un défaut unique et invisible dans la chaîne de compilation peut annuler toutes les autres mesures de sécurité.

Trois conclusions pratiques s’imposent. Premièrement, si vous avez utilisé un COLDCARD pour générer une seed après mars 2021, migrez vers une nouvelle seed créée avec le firmware à jour, même si votre portefeuille était protégé par une passphrase. Celle-ci augmente le coût de l’attaque, mais ne répare pas une seed compromise. Deuxièmement, la sécurité matérielle ne s’arrête pas à l’achat de l’appareil : le firmware et l’origine de l’entropie sont déterminants. Troisièmement, et plus largement, des analyses parallèles ont mis au jour des défauts comparables de gestion de l’entropie dans d’autres bases de code. COLDCARD est le cas le plus visible, mais probablement pas le seul de cette catégorie.

Pour l’industrie crypto, le rappel est clair : la confiance accordée à un appareil doit pouvoir être vérifiée, et non présumée.