Les enquêteurs en cryptomonnaie s’attaquent à l’un des problèmes les plus difficiles d’allocation des pertes dans la sécurité des actifs numériques : estimer le vol à partir de portefeuilles en self-custody, où il n’existe aucun registre faisant autorité des utilisateurs touchés. L’analyse en cours du piratage lié à Coldcard produit désormais des chiffres nettement différents selon la manière dont les équipes traitent les signalements de victimes « confirmés » par rapport aux attributions on-chain.
La plateforme d’analyse blockchain CryptoQuant estime actuellement les pertes confirmées à 1 432 Bitcoin, tandis que Galaxy Research et TRM Labs soutiennent que le bilan global est plus élevé lorsque le traçage laisse apparaître des victimes supplémentaires sur plusieurs vagues. Cet écart montre pourquoi les exploitations de portefeuilles matériels peuvent être difficiles à chiffrer—et pourquoi les investisseurs et les observateurs de la sécurité devraient considérer tout chiffre unique comme provisoire.
Points clés
CryptoQuant indique 1 432 BTC comme niveau plancher confirmé, s’appuyant sur des preuves fournies par les victimes avant de qualifier les fonds volés.
Galaxy Research indique avoir des pertes minimales avec un niveau de confiance élevé de 1 730 BTC, en utilisant les signalements des victimes pour valider des schémas d’attaque plus larges.
TRM Labs estime que les attaquants ont siphonné environ 1 816 BTC sur 5 200+ adresses en quatre vagues, et que ce chiffre devrait continuer à augmenter avant de se stabiliser.
Toutes les parties soulignent qu’il n’existe pas de liste complète des comptes de self-custody touchés, donc les totaux ne peuvent être qu’inférés—et non décomptés de manière définitive.
Pourquoi les vols Coldcard sont difficiles à totaliser
Les incidents de self-custody diffèrent fortement des piratages d’exchange, où les enquêteurs peuvent souvent démarrer à partir d’une liste centralisée des comptes ou des soldes compromis. Dans le cas de Coldcard, les équipes d’analyse doivent plutôt reconstituer des estimations à partir de divulgations éparses—adresses de portefeuilles et identifiants de transaction partagés par les victimes—puis les rapprocher d’un comportement on-chain cohérent avec l’attaque.
Cette structure crée deux philosophies de mesure concurrentes. L’une est prudente : ne comptabiliser que les pertes que les victimes confirment directement, afin d’éviter les « faux positifs » liés à l’appariement de motifs. L’autre est une démarche d’enquête : utiliser les pertes confirmées pour identifier d’autres regroupements de portefeuilles et transactions qui appartiennent probablement à d’autres victimes, même lorsque ces victimes n’ont pas encore fait connaître publiquement leur situation.
Le résultat est un écart qui s’élargit entre les totaux « confirmés » et les totaux « attribués—exactement l’écart qui compte pour le reporting d’incident, la responsabilité et la crédibilité des récits de sécurité en aval.
Galaxy réduit un minimum évolutif—soutenu par des corroborations des victimes
L’approche de Galaxy, telle qu’expliquée à Cointelegraph par Alex Thorn, considère les totaux initiaux comme provisoires tant que les divulgations des victimes ne peuvent pas corroborer les victimes présumées et l’activité on-chain associée. Thorn avait auparavant décrit l’estimation initiale de Galaxy—jusqu’à 1 816 BTC—comme un chiffre possible plutôt que comme un total final.
D’ici mardi, Galaxy a déclaré un minimum avec un niveau de confiance élevé de 1 730 BTC. Thorn a également indiqué que ce minimum pourrait encore augmenter à mesure que davantage de signalements de victimes correspondent aux schémas observés de l’attaque.
Selon la description de Thorn, la distinction clé se situe entre (1) les pertes directement étayées par des informations rapportées par les victimes et (2) les pertes supplémentaires identifiées grâce au schéma plus large que ces signalements aident à valider. Galaxy a indiqué avoir directement confirmé 450+ BTC à partir des signalements des victimes, tandis que ces signalements ont permis de mettre au jour d’autres victimes dans un ensemble plus large totalisant plus de 730 BTC. Dans le même temps, Galaxy a indiqué qu’elle retenait encore des BTC qu’elle soupçonne, mais qu’elle ne peut pas encore vérifier avec suffisamment de corroborations.
Pour les lecteurs, cette méthodologie compte car elle suggère une dynamique de « plancher pouvant monter » : à mesure que le jeu de données public des éléments fournis par les victimes s’enrichit, la part que les analystes peuvent qualifier avec confiance de vol s’élargit, ce qui améliore la stabilité des totaux.
TRM Labs : traçage plus large sur plusieurs vagues
TRM Labs a indiqué à Cointelegraph que son traçage indépendant aboutit à la même fourchette générale que Galaxy. Dans son analyse plus détaillée, TRM a estimé que les attaquants ont siphonné environ 1 816 BTC à partir de plus de 5 200 adresses sur quatre vagues.
Ari Redbord, responsable mondial des politiques chez TRM, a mis en garde : les enquêteurs doivent s’attendre à voir les estimations continuer à grimper avant de se stabiliser. Ce cadrage correspond à la réalité selon laquelle les victimes en self-custody peuvent mettre du temps à découvrir la compromission, à identifier les adresses concernées et à divulguer les informations nécessaires aux analystes pour faire correspondre les traces on-chain.
Les résultats de TRM soulignent aussi pourquoi le même incident peut générer différents « totaux » selon que les analystes appliquent des confirmations strictes des victimes ou étendent l’attribution à des regroupements et transactions qui semblent cohérents avec l’exploitation.
CryptoQuant utilise les preuves fournies par les victimes pour éviter les affirmations gonflées
CryptoQuant adopte une position plus restrictive. D’après Cointelegraph, Julio Moreno a déclaré que l’entreprise commence par des rapports publics des victimes—y compris des adresses de portefeuille ou des identifiants de transaction—puis vérifie ces divulgations par rapport à des schémas on-chain connus associés à l’attaque contre Coldcard.
Avec ce type de méthode, le décompte confirmé actuel de CryptoQuant est de 1 432 BTC, que Moreno a décrit comme un plancher susceptible d’augmenter si davantage de victimes révèlent publiquement les adresses piratées.
Moreno a souligné que CryptoQuant évite de considérer uniquement l’appariement de motifs on-chain comme base pour identifier des victimes, car cela pourrait générer des faux positifs et gonfler l’estimation. Dans son explication, le problème fondamental est que le Bitcoin volé appartient à des individus, et non à une entité centralisée unique (comme un exchange) qui pourrait fournir des données consolidées sur l’incident. Par conséquent, les analystes ne peuvent confirmer que ce que les victimes divulguent.
« Connaître le total des BTC volés est difficile, et ce sera toujours une estimation. »
La position de CryptoQuant rappelle qu’en cas d’incidents de self-custody, la précision analytique est limitée par la disponibilité des données. Le chiffre le plus prudent ne reflète peut-être pas l’ampleur totale des dégâts—mais il peut être le plus défendable comme « confirmé » tant que l’affaire est encore en cours.
Ce que les autres font (et ne font pas) pour leurs totaux
Cointelegraph a également indiqué que Chainalysis n’a pas effectué de décompte indépendant des pertes. De son côté, l’enquêteur blockchain ZachXBT a déclaré publiquement n’avoir aucune intention de surveiller ou de retracer l’incident.
Bien que l’absence de total faisant consensus puisse frustrer ceux qui cherchent un seul chiffre, cela indique aussi que l’écosystème converge vers une compréhension commune : sans registres complets des victimes, les analystes doivent arbitrer entre exhaustivité et vérification.
Pour l’instant, l’essentiel à surveiller est de savoir si les chiffres annoncés se stabilisent à mesure que davantage de victimes soumettent des données de portefeuille corroborantes. Si les divulgations s’accélèrent, le plancher « confirmé » devrait augmenter et les estimations pourraient converger—sinon, l’écart entre les totaux conservateurs et ceux attribués pourrait rester un trait persistant de la manière dont les piratages en self-custody sont mesurés.
Cet article a été publié à l’origine sous le titre « How Investigators Track Coldcard Hack Losses and Stolen Bitcoin » sur Crypto Breaking News—votre source de confiance pour l’actualité crypto, l’actualité Bitcoin et les mises à jour blockchain.