Un portefeuille matériel conserve les clés privées à l'écart d'un appareil connecté à Internet — une protection essentielle qui ne fonctionne que si le portefeuille génère correctement ces clés dès le départ.
Le bug Coldcard révélé en juillet 2026 a exposé une défaillance à ce point de départ. Une erreur de firmware a conduit les appareils concernés à produire des seeds de portefeuille avec beaucoup moins d'aléatoire que prévu. Les attaquants n'avaient pas besoin de l'appareil physique ni d'intercepter une transaction — un seed suffisamment prévisible pouvait leur permettre de reconstruire les clés ailleurs.
Pour les utilisateurs de Bitcoin, cet incident offre une leçon inconfortable : un portefeuille hors ligne n'est aussi sécurisé que le secret qu'il crée lors de la configuration, et ce secret peut être défectueux avant même la signature de la première transaction.
Que s'est-il passé avec les portefeuilles Coldcard ?
Des rapports de transferts non autorisés de Bitcoin ont émergé fin juillet. Un groupe largement examiné impliquait environ 594,5 BTC déplacés d'environ 500 adresses sur une courte période. Des estimations ultérieures se sont étendues à mesure que les chercheurs identifiaient des transactions supplémentaires, mais le total final des pertes et l'attribution restent non résolus.
L'enquête a révélé un problème dans le processus de génération de seeds de Coldcard. Au lieu de tirer constamment de l'aléatoire du générateur de nombres aléatoires matériel de l'appareil, le firmware affecté pouvait se rabattre sur un générateur basé sur logiciel initialisé avec des informations plus prévisibles qu'un seed de portefeuille sécurisé ne devrait l'être.
Cela n'a pas rendu tous les seeds immédiatement visibles. Un attaquant devait toujours rechercher parmi les entrées possibles et identifier les adresses contenant des fonds. Mais l'espace de recherche était bien plus restreint que le niveau de sécurité attendu par les utilisateurs d'un portefeuille matériel Bitcoin.
L'analyse de l'incident par Bitcoin Optech a décrit la faiblesse comme sévère et a conseillé aux utilisateurs potentiellement affectés de déplacer leurs fonds vers des portefeuilles créés avec un logiciel ou un matériel non affecté.
Le Problème a Commencé à la Création du Seed
Un portefeuille Bitcoin ne contient pas de pièces à l'intérieur de l'appareil. Il détient les clés privées nécessaires pour autoriser les transactions. Ces clés sont dérivées du seed de récupération généré lors de la configuration.
Un seed sécurisé doit être imprévisible. Si l'aléatoire derrière lui est fort, deviner le seed est pratiquement impossible. Si cet aléatoire est affaibli, les mots peuvent toujours sembler normaux tout en représentant beaucoup moins de combinaisons possibles que prévu.
C'est pourquoi l'incident Coldcard était particulièrement dangereux. Rien sur l'écran n'indiquait nécessairement aux utilisateurs que leur seed avait été créé avec une entropie insuffisante. Le portefeuille pouvait recevoir du Bitcoin, afficher des adresses et signer des transactions normalement.
La faiblesse était déjà intégrée dans les fondations du portefeuille.
Quelles Versions de Coldcard étaient Affectées ?
La portée s'est étendue au fur et à mesure de l'enquête. Les premiers rapports se concentraient sur le Mk3, mais les directives actuelles couvrent les versions affectées sur plusieurs modèles Coldcard et pistes de publication.
Coldcard liste les versions corrigées minimales suivantes :
-
Mk2 et Mk3 : version 4.2.0 ou ultérieure
-
Firmware standard Mk4 et Mk5 : version 5.6.0 ou ultérieure
-
Firmware standard Q : version 1.5.0Q ou ultérieure
-
Firmware Edge Mk4 et Mk5 : version 6.6.0X ou ultérieure
-
Firmware Edge Q : version 6.6.0QX ou ultérieure
Les versions standard actuellement recommandées sont la version 5.6.1 pour Mk4 et Mk5 et la version 1.5.1Q pour le modèle Q. Les utilisateurs doivent consulter les dernières informations sur la page officielle du statut de sécurité de Coldcard, car les conseils de sécurité peuvent changer.
La version pertinente est le firmware utilisé lors de la génération du seed. L'installation d'une version corrigée aujourd'hui n'ajoute pas d'aléatoire à un seed créé il y a des années.
Une Mise à Jour du Firmware n'est Pas une Migration de Seed
Le firmware mis à jour corrige le processus utilisé pour générer les futurs secrets. Il ne modifie pas une phrase de récupération existante ni les clés privées qui en sont dérivées. Un portefeuille avec un seed potentiellement affecté peut donc rester exposé après la mise à jour de l'appareil.
Coldcard conseille aux utilisateurs affectés de suivre son processus de migration officiel. Cela implique de créer un nouveau seed dans des conditions corrigées, de vérifier le nouveau portefeuille et de déplacer les fonds via une transaction Bitcoin sur la chaîne.
Les utilisateurs ne doivent pas taper leur ancien seed sur un site Web, un vérificateur en ligne ou un formulaire de support non sollicité. Les incidents de sécurité attirent souvent des campagnes de phishing qui imitent les fabricants de portefeuilles et proposent de faux services de « vérification » ou de « récupération ».
Une petite transaction test et une vérification minutieuse des adresses peuvent réduire les erreurs opérationnelles lors de la migration. Le processus complet doit être tiré des directives officielles de Coldcard plutôt que des instructions sur les réseaux sociaux.
Une Phrase Secrète Protégeait-elle les Portefeuilles Affectés ?
Une phrase secrète BIP-39 forte et unique peut ajouter une barrière supplémentaire car elle crée un portefeuille différent par-dessus le seed sous-jacent. Cependant, les directives actuelles de Coldcard indiquent qu'une phrase secrète ne répare pas un seed affecté.
Sa protection dépend également de sa force. Une phrase secrète courte ou couramment utilisée peut offrir peu de résistance à un attaquant déjà à la recherche de seeds candidats.
Les utilisateurs qui ont ajouté une entropie suffisante générée par des dés indépendants peuvent bénéficier d'une exception spécifique dans l'avis. Coldcard définit les conditions de cette exception, y compris au moins 50 lancers de dés équitables, privés et enregistrés indépendamment. Toute personne incertaine de la manière dont un seed a été généré ne doit pas supposer que l'exception s'applique.
Ce que Coldcard a Changé Après l'Incident
Coldcard a publié un firmware corrigé et ajouté des contrôles supplémentaires au processus de génération de seeds. La nouvelle configuration de portefeuille standard combine désormais une nouvelle entropie de l'appareil avec une source d'entrée utilisateur requise, telle qu'une temporisation imprévisible du clavier, des lancers de dés physiques ou des lancers de pièce.
L'entreprise a également publié des preuves de vérifications indépendantes ciblées. Les examinateurs ont confirmé que le firmware corrigé atteint le générateur de nombres aléatoires matériel et que les contrôles de construction empêchent que le mauvais fallback logiciel ne soit à nouveau lié.
Ces vérifications soutiennent des parties spécifiques de la réparation. Elles ne garantissent pas que chaque composant du firmware a subi un audit indépendant complet ni qu'aucun défaut futur n'est possible. Coldcard lui-même rend cette limitation claire dans sa divulgation actuelle.
Le Seed Vient Avant l'Appareil
L'incident Coldcard a commencé par une petite erreur d'implémentation, mais ses conséquences ont atteint la partie la plus sensible d'un portefeuille Bitcoin.
Un portefeuille matériel peut isoler une clé privée. Il ne peut pas renforcer rétroactivement une clé prévisible.
Pour les utilisateurs affectés, la question pratique n'est donc pas de savoir si l'appareil a été mis à jour. C'est de savoir si le portefeuille actuel a été créé en utilisant un processus de génération de seed affecté. Si la réponse est oui ou incertaine, les directives de migration officielles sont plus importantes que la version du firmware affichée actuellement à l'écran.
Tapbit publie une couverture supplémentaire sur la sécurité Bitcoin, l'auto-conservation et les marchés d'actifs numériques via l'Académie Tapbit. Les utilisateurs revenant sur la plateforme peuvent se connecter, tandis que les nouveaux utilisateurs peuvent s'inscrire ici.
Questions Fréquemment Posées
Quel était le bug du portefeuille matériel Coldcard ?
Le bug a affecté la manière dont certaines versions du firmware Coldcard généraient des secrets de portefeuille aléatoires. Un processus de génération de nombres aléatoires logiciel pouvait être utilisé à la place de la source matérielle prévue, laissant certains seeds avec moins d'entropie que prévu.
Tous les portefeuilles Coldcard étaient-ils affectés ?
Non. Le risque dépend du modèle, de la version du firmware et de la manière dont le seed a été généré à l'origine. Les utilisateurs doivent comparer leur configuration avec l'avis officiel actuel de Coldcard plutôt que de se fier uniquement au modèle de l'appareil.
La mise à jour du firmware Coldcard protège-t-elle un portefeuille existant ?
La mise à jour corrige la génération future de seeds mais ne répare pas un seed existant. Un portefeuille potentiellement affecté doit être évalué et, si nécessaire, migré vers un seed nouvellement généré.
