Le « stockage le plus sûr » de Bitcoin vient d’être cambriolé — 116 M$ disparaissent de portefeuilles cold wallets💥🔥
La promesse de l’auto-conservation (self-custody) en crypto a subi un sérieux revers cette semaine. Une faille de micrologiciel dans les cold wallets Coldcard, fabriqués par le constructeur canadien Coinkite, a permis aux pirates de vider environ 1 816 Bitcoin, d’une valeur proche de 116 millions de dollars, depuis plus de 5 200 adresses au cours de quatre vagues d’attaque depuis le 30 juillet 2026.
Le bug remonte à une mise à jour de micrologiciel de mars 2021 qui a, par erreur, redirigé la génération de graines du portefeuille vers un générateur de nombres aléatoires basé sur un logiciel au lieu du RNG matériel de l’appareil. Cette aléa plus faible a permis aux attaquants de reconstruire mathématiquement des clés privées hors ligne — sans jamais toucher physiquement l’appareil.
Coinkite a publié un micrologiciel corrigé et a exhorté les utilisateurs concernés à migrer leurs fonds vers de nouvelles graines immédiatement, sauf s’ils avaient ajouté une entropie supplémentaire ou une phrase secrète (passphrase) forte. Point crucial : les chercheurs soulignent que le propre protocole de Bitcoin n’a pas été compromis — il s’agit d’une défaillance au niveau de l’appareil, et non d’une faille de la blockchain.
L’identité de l’attaquant reste inconnue. L’incident relance le débat sur la question de savoir si les détenteurs « du quotidien » devraient s’auto-conserver à tout prix, ou plutôt s’appuyer sur des dépositaires réglementés et des ETF.
En bref :Mettez à jour le micrologiciel. Vérifiez l’origine de votre graine. Faites confiance, mais vérifiez — même en cold storage. #ColdcardTheftTops$100M #btc $BTC
La promesse de l’auto-conservation (self-custody) en crypto a subi un sérieux revers cette semaine. Une faille de micrologiciel dans les cold wallets Coldcard, fabriqués par le constructeur canadien Coinkite, a permis aux pirates de vider environ 1 816 Bitcoin, d’une valeur proche de 116 millions de dollars, depuis plus de 5 200 adresses au cours de quatre vagues d’attaque depuis le 30 juillet 2026.
Le bug remonte à une mise à jour de micrologiciel de mars 2021 qui a, par erreur, redirigé la génération de graines du portefeuille vers un générateur de nombres aléatoires basé sur un logiciel au lieu du RNG matériel de l’appareil. Cette aléa plus faible a permis aux attaquants de reconstruire mathématiquement des clés privées hors ligne — sans jamais toucher physiquement l’appareil.
Coinkite a publié un micrologiciel corrigé et a exhorté les utilisateurs concernés à migrer leurs fonds vers de nouvelles graines immédiatement, sauf s’ils avaient ajouté une entropie supplémentaire ou une phrase secrète (passphrase) forte. Point crucial : les chercheurs soulignent que le propre protocole de Bitcoin n’a pas été compromis — il s’agit d’une défaillance au niveau de l’appareil, et non d’une faille de la blockchain.
L’identité de l’attaquant reste inconnue. L’incident relance le débat sur la question de savoir si les détenteurs « du quotidien » devraient s’auto-conserver à tout prix, ou plutôt s’appuyer sur des dépositaires réglementés et des ETF.
En bref :Mettez à jour le micrologiciel. Vérifiez l’origine de votre graine. Faites confiance, mais vérifiez — même en cold storage. #ColdcardTheftTops$100M #btc $BTC