La faille de Coldcard s’envenime : des fonds volés dépassent 1 000 BTC
Frères, je vous raconte un truc.
Si vous avez déjà utilisé Coldcard, alors tout de suite, maintenant, avant de scroller plus bas—allez vérifier d’abord la version de votre firmware.
Du 30 juillet à 1 h 10 jusqu’à 1 h 51, 41 minutes.
1196 adresses ont été vidées.
1082,65 BTC, soit environ 70 millions de dollars, ont disparu dans la nature, depuis des portefeuilles Coldcard enfermés dans des coffres, hors ligne, et restés inactifs pendant des mois voire des années.
L’appareil n’a jamais été touché pendant toute la durée.
L’attaquant n’a même pas touché à votre portefeuille. Votre portefeuille pourrait être soudé dans un coffre, ou enterré dans la cave—ça ne sert à rien.
C’est peut-être l’une des choses les plus ironiques de 2026.
Quel est le plus gros argument de vente des wallets matériels ? — « La clé privée ne touche jamais Internet, l’isolement physique, une sécurité absolue. »
Et alors, qu’en est-il ? La faille provient d’une seule ligne de code datant de mars 2021.
Le firmware de Coldcard devait appeler un générateur de nombres aléatoires matériel pour produire la phrase mnémonique. Mais une vérification de compilation ne validait que « que le paramètre existe », sans vérifier « que le paramètre est activé »—le système a alors fait un retour silencieux vers un générateur de nombres aléatoires logiciel.
Et ce que valait la graine de ce « générateur aléatoire logiciel » ? Le numéro de série de la puce + le registre d’horloge.
Le numéro de série est une donnée fixe d’usine. La valeur de l’horloge correspond à un état temporel qu’on peut estimer.
En équivalent : c’est comme si le mot de passe de votre coffre était formé par le numéro de sortie d’usine + l’heure actuelle.
L’attaquant n’a qu’à lancer une énumération sur son propre appareil—l’espace de recherche du Mk3 ne fait qu’environ 40 bits, alors que la graine de sécurité devait être de 128 bits. 40 bits, avec un ordinateur moderne, c’est calculé en quelques minutes.
Vous pensiez que c’était une forteresse, c’est en réalité du papier. Le hacker est chez lui, avec son café, et calcule votre clé privée.
Et le plus douloureux : ce n’est pas un problème d’un « petit modèle obscur » quelconque.
Coldcard fait partie des wallets matériels les plus recommandés de la communauté Bitcoin, « le choix des geeks », « le symbole de la foi du self-custody ». Résultat ? Mk3 affecté de la version 4.0.1 à 4.1.9. Puis l’annonce s’est élargie—Mk4, Mk5 en dessous de 5.6.0, et Q en dessous de 1.5.0Q, également touchés.
Presque toute la gamme est tombée.
Le PDG Rodolfo Novak (NVK) s’est excusé vendredi : la société assume l’entière responsabilité, en reconnaissant que son processus d’audit interne n’avait pas décelé le problème.
Puis il a dit une phrase qui glace toute l’industrie—cette faille, très probablement, a été découverte par une IA.
Coinkite avait balayé son code il y a quelques semaines avec un modèle IA de pointe—rien trouvé. Le hacker a utilisé le même type d’outil, et a découvert la faille.
Défenseurs et attaquants avec la même arme : l’attaquant gagne.
Maintenant, la question la plus cruciale arrive—
« Un wallet matériel est plus sûr qu’une bourse »—cette croyance tient-elle encore debout ?
Au cours des cinq dernières années, à chaque fois qu’une bourse faisait défaut, qu’elle fuyait, qu’elle était piratée et subissait un vol, on se disait : pas de souci, tant qu’on a la clé privée à soi, c’est sûr. On achète un Coldcard, on génère hors ligne, on isole physiquement, c’est infaillible.
Et alors quoi ? Un défaut d’une ligne de code, qui n’a explosé qu’au bout de cinq ans, et de façon concentrée. Les fonds que vous gardez dans un cold wallet, si on les compare à ceux que vous aviez sur une bourse et qu’on vous a vidés via un piratage—la conclusion est la même : c’est parti.
Le développeur Bitcoin Peter Todd dit que c’est une inquiétude qu’il porte depuis des années. Les wallets matériels commerciaux exécutent du code, et le niveau d’audit indépendant de ce code est extrêmement limité. La « technologie matérielle » que vous êtes en train de croire, c’est en réalité la confiance dans une boîte noire en code fermé, quasiment jamais audité.
Pire encore : même si vous exportez la phrase mnémonique vers un autre wallet, la faille vous suit quand même. Parce que le problème ne vient pas de l’appareil lui-même, mais du moment où la phrase mnémonique est générée.
Votre « self-custody » n’a jamais été vraiment du self-custody—dès l’instant où vous avez généré la graine il y a cinq ans.
Disons les choses crûment :
Vous pensez garder le Bitcoin « vous-même ». En réalité, vous gardez le Bitcoin « pour le hacker »—ils n’ont juste pensé à venir le récupérer que maintenant.
Cinq ans. Ces 1 000 et quelques BTC sont restés dans ces adresses, le propriétaire persuadé que c’était infaillible. Le hacker a pu tout calculer à n’importe quel moment depuis mars 2021, mais il a choisi la journée du 30 juillet, sur une durée de 41 minutes, pour tout vider d’un coup.
Vous avez passé des nuits à chercher comment stocker en toute sécurité, et une ligne de code vous ramène à la case départ.
Et maintenant, que faire ?
Étape 1 : vérifiez la version de firmware de votre Coldcard. Mk3 4.0.1 à 4.1.9, Mk4/Mk5 en dessous de 5.6.0, Q en dessous de 1.5.0Q—si votre phrase mnémonique a été générée avec ces versions, considérez par défaut que vous êtes exposé.
Étape 2 : mettez à jour votre firmware vers la dernière version—Mk3 4.2.0 et supérieur, Mk4/Mk5 5.6.0 et supérieur, Q 1.5.0Q et supérieur.
Étape 3 : mettre à jour le firmware ne répare pas une graine déjà générée. Vous devez régénérer de toutes nouvelles phrases mnémoniques avec le nouvel appareil, créer de nouvelles adresses, puis transférer l’ensemble de vos actifs vers celles-ci.
Étape 4 : avant la migration, effectuez un test de transfert de faible montant. Une fois confirmé, transférez le solde.
Si, lors de la génération de la graine, vous avez utilisé des dés aléatoires supplémentaires ou une passphrase BIP39, alors félicitations—vous êtes très probablement en sécurité. Mais Coinkite recommande quand même de migrer.
Enfin, une dernière question pour tout le monde :
Si même Coldcard peut être touché par ce genre de problème—vos autres wallets matériels à vous, vraiment, vous pouvez être si serein ? #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
Frères, je vous raconte un truc.
Si vous avez déjà utilisé Coldcard, alors tout de suite, maintenant, avant de scroller plus bas—allez vérifier d’abord la version de votre firmware.
Du 30 juillet à 1 h 10 jusqu’à 1 h 51, 41 minutes.
1196 adresses ont été vidées.
1082,65 BTC, soit environ 70 millions de dollars, ont disparu dans la nature, depuis des portefeuilles Coldcard enfermés dans des coffres, hors ligne, et restés inactifs pendant des mois voire des années.
L’appareil n’a jamais été touché pendant toute la durée.
L’attaquant n’a même pas touché à votre portefeuille. Votre portefeuille pourrait être soudé dans un coffre, ou enterré dans la cave—ça ne sert à rien.
C’est peut-être l’une des choses les plus ironiques de 2026.
Quel est le plus gros argument de vente des wallets matériels ? — « La clé privée ne touche jamais Internet, l’isolement physique, une sécurité absolue. »
Et alors, qu’en est-il ? La faille provient d’une seule ligne de code datant de mars 2021.
Le firmware de Coldcard devait appeler un générateur de nombres aléatoires matériel pour produire la phrase mnémonique. Mais une vérification de compilation ne validait que « que le paramètre existe », sans vérifier « que le paramètre est activé »—le système a alors fait un retour silencieux vers un générateur de nombres aléatoires logiciel.
Et ce que valait la graine de ce « générateur aléatoire logiciel » ? Le numéro de série de la puce + le registre d’horloge.
Le numéro de série est une donnée fixe d’usine. La valeur de l’horloge correspond à un état temporel qu’on peut estimer.
En équivalent : c’est comme si le mot de passe de votre coffre était formé par le numéro de sortie d’usine + l’heure actuelle.
L’attaquant n’a qu’à lancer une énumération sur son propre appareil—l’espace de recherche du Mk3 ne fait qu’environ 40 bits, alors que la graine de sécurité devait être de 128 bits. 40 bits, avec un ordinateur moderne, c’est calculé en quelques minutes.
Vous pensiez que c’était une forteresse, c’est en réalité du papier. Le hacker est chez lui, avec son café, et calcule votre clé privée.
Et le plus douloureux : ce n’est pas un problème d’un « petit modèle obscur » quelconque.
Coldcard fait partie des wallets matériels les plus recommandés de la communauté Bitcoin, « le choix des geeks », « le symbole de la foi du self-custody ». Résultat ? Mk3 affecté de la version 4.0.1 à 4.1.9. Puis l’annonce s’est élargie—Mk4, Mk5 en dessous de 5.6.0, et Q en dessous de 1.5.0Q, également touchés.
Presque toute la gamme est tombée.
Le PDG Rodolfo Novak (NVK) s’est excusé vendredi : la société assume l’entière responsabilité, en reconnaissant que son processus d’audit interne n’avait pas décelé le problème.
Puis il a dit une phrase qui glace toute l’industrie—cette faille, très probablement, a été découverte par une IA.
Coinkite avait balayé son code il y a quelques semaines avec un modèle IA de pointe—rien trouvé. Le hacker a utilisé le même type d’outil, et a découvert la faille.
Défenseurs et attaquants avec la même arme : l’attaquant gagne.
Maintenant, la question la plus cruciale arrive—
« Un wallet matériel est plus sûr qu’une bourse »—cette croyance tient-elle encore debout ?
Au cours des cinq dernières années, à chaque fois qu’une bourse faisait défaut, qu’elle fuyait, qu’elle était piratée et subissait un vol, on se disait : pas de souci, tant qu’on a la clé privée à soi, c’est sûr. On achète un Coldcard, on génère hors ligne, on isole physiquement, c’est infaillible.
Et alors quoi ? Un défaut d’une ligne de code, qui n’a explosé qu’au bout de cinq ans, et de façon concentrée. Les fonds que vous gardez dans un cold wallet, si on les compare à ceux que vous aviez sur une bourse et qu’on vous a vidés via un piratage—la conclusion est la même : c’est parti.
Le développeur Bitcoin Peter Todd dit que c’est une inquiétude qu’il porte depuis des années. Les wallets matériels commerciaux exécutent du code, et le niveau d’audit indépendant de ce code est extrêmement limité. La « technologie matérielle » que vous êtes en train de croire, c’est en réalité la confiance dans une boîte noire en code fermé, quasiment jamais audité.
Pire encore : même si vous exportez la phrase mnémonique vers un autre wallet, la faille vous suit quand même. Parce que le problème ne vient pas de l’appareil lui-même, mais du moment où la phrase mnémonique est générée.
Votre « self-custody » n’a jamais été vraiment du self-custody—dès l’instant où vous avez généré la graine il y a cinq ans.
Disons les choses crûment :
Vous pensez garder le Bitcoin « vous-même ». En réalité, vous gardez le Bitcoin « pour le hacker »—ils n’ont juste pensé à venir le récupérer que maintenant.
Cinq ans. Ces 1 000 et quelques BTC sont restés dans ces adresses, le propriétaire persuadé que c’était infaillible. Le hacker a pu tout calculer à n’importe quel moment depuis mars 2021, mais il a choisi la journée du 30 juillet, sur une durée de 41 minutes, pour tout vider d’un coup.
Vous avez passé des nuits à chercher comment stocker en toute sécurité, et une ligne de code vous ramène à la case départ.
Et maintenant, que faire ?
Étape 1 : vérifiez la version de firmware de votre Coldcard. Mk3 4.0.1 à 4.1.9, Mk4/Mk5 en dessous de 5.6.0, Q en dessous de 1.5.0Q—si votre phrase mnémonique a été générée avec ces versions, considérez par défaut que vous êtes exposé.
Étape 2 : mettez à jour votre firmware vers la dernière version—Mk3 4.2.0 et supérieur, Mk4/Mk5 5.6.0 et supérieur, Q 1.5.0Q et supérieur.
Étape 3 : mettre à jour le firmware ne répare pas une graine déjà générée. Vous devez régénérer de toutes nouvelles phrases mnémoniques avec le nouvel appareil, créer de nouvelles adresses, puis transférer l’ensemble de vos actifs vers celles-ci.
Étape 4 : avant la migration, effectuez un test de transfert de faible montant. Une fois confirmé, transférez le solde.
Si, lors de la génération de la graine, vous avez utilisé des dés aléatoires supplémentaires ou une passphrase BIP39, alors félicitations—vous êtes très probablement en sécurité. Mais Coinkite recommande quand même de migrer.
Enfin, une dernière question pour tout le monde :
Si même Coldcard peut être touché par ce genre de problème—vos autres wallets matériels à vous, vraiment, vous pouvez être si serein ? #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
0
