Hack Coldcard : ce qu'il s'est passé et comment se protéger
Une faille présente dans le firmware du Coldcard (Coinkite) a affaibli le générateur de nombres aléatoires utilisé pour créer certaines seed phrases, permettant à des attaquants de reconstituer des clés privées et de dérober environ 1 367 BTC (près de 89 millions de dollars) sur plus de 4 500 adresses, sans accès physique aux appareils. Les modèles Mk3 sous firmware 4.0.1 à 4.1.9 sont formellement concernés.
Un hardware wallet est censé être l'endroit le plus sûr pour conserver ses Bitcoin. C'est précisément ce postulat qu'un incident récent est venu ébranler : depuis fin juillet 2026, une faille firmware du Coldcard, fabriqué par la société canadienne Coinkite, a permis le vol de plusieurs dizaines de millions de dollars, sans jamais nécessiter d'accès physique aux appareils.
Que s'est-il passé ?
À partir du 30 juillet 2026, plusieurs vagues d'attaques coordonnées ont ciblé des portefeuilles Bitcoin générés sur des wallets Coldcard. Une première vague a permis de dérober environ 594 BTC (près de 38 millions de dollars) en seulement 25 minutes, à partir d'environ 500 adresses.
Les vagues suivantes, documentées par la société de recherche blockchain Galaxy Research, ont fait grimper le bilan total à environ 1 367 BTC, soit près de 89 millions de dollars, dérobés sur plus de 4 500 adresses. Certaines estimations plus larges évoquent même plus de 100 millions de dollars sur plusieurs milliers de comptes au total.
Il s'agit de l'un des vols documentés les plus importants jamais réalisés depuis des dispositifs de « cold storage », habituellement considérés comme la méthode la plus sûre pour conserver des cryptomonnaies.
D'où vient cette faille ?
Selon les analyses techniques publiées, notamment par l'équipe d'ingénierie de Block, l'origine du problème remonte à une modification du code apportée en mars 2021. Ce changement a provoqué, sur certains appareils, un basculement silencieux du générateur de nombres aléatoires : au lieu d'utiliser le générateur matériel prévu pour créer la seed phrase — censé produire 128 bits d'entropie, un niveau d'aléa rendant toute tentative de deviner la clé pratiquement impossible — le firmware s'est mis à utiliser un générateur logiciel bien plus faible.
Sur les appareils Coldcard Mk3, cette faille aurait réduit l'espace de recherche effectif à environ 40 bits seulement, un niveau bien plus accessible au calcul, permettant à un attaquant de reconstituer certaines seed phrases et de dérober les fonds correspondants — sans jamais avoir eu besoin de toucher physiquement l'appareil de la victime. Coinkite a confirmé l'existence de cette faille, tout en précisant que l'estimation de 40 bits restait préliminaire à ce stade des investigations.
Quels appareils sont concernés ?
D'après les informations disponibles à ce jour :
- Les Coldcard Mk3 ayant fonctionné sous les versions de firmware 4.0.1 à 4.1.9 sont formellement identifiés comme vulnérables
- Par précaution, Coinkite a également publié des correctifs pour les modèles Mk4, Mk5 et Q, sans confirmation qu'ils soient concernés de la même manière
- Ce qui compte n'est pas la version de firmware installée aujourd'hui, mais la version utilisée au moment de la génération de la seed phrase — mettre à jour son firmware maintenant ne corrige pas une seed déjà compromise créée sur une version vulnérable
Point notable relevé par plusieurs chercheurs : les utilisateurs ayant utilisé une source d'entropie externe lors de la configuration de leur wallet (méthode parfois appelée « roll your own dice », consistant à générer une partie de l'aléa soi-même, par exemple avec des dés physiques) n'ont pas été affectés par cette faille, leurs seeds étant restées imprévisibles pour les attaquants.
Ce que cet incident change (et ne change pas) sur l'auto-conservation
Cet événement a relancé le débat sur la fiabilité de l'auto-conservation (self-custody) face aux solutions de garde déléguée (exchanges régulés, ETF Bitcoin au comptant). Plusieurs experts en sécurité, dont la société Blockaid, rappellent toutefois un élément de contexte important : sur le premier semestre 2026, la majorité des pertes de cryptomonnaies dans l'industrie provenaient déjà de clés compromises et d'erreurs de sécurité opérationnelle, plutôt que de failles de smart contracts ou de piratages d'exchanges. Le cas Coldcard s'inscrit dans cette tendance plus large.
Cet incident ne démontre pas que l'auto-conservation est plus risquée que de laisser ses cryptos sur un exchange — il illustre une catégorie de risque différente, propre au matériel.
Les chercheurs en sécurité insistent sur ce point : il s'agit d'un risque lié à l'intégrité du firmware et de la chaîne d'approvisionnement, plutôt qu'à un risque de contrepartie ou de solvabilité d'une plateforme centralisée. Un hardware wallet reste, par principe, plus sûr qu'un stockage en ligne — à condition que sa conception et son firmware soient irréprochables.
Que faire si vous possédez un Coldcard ?
Si vous êtes concerné, voici les actions recommandées par les experts en sécurité :
- Vérifiez la version de firmware utilisée au moment de la création de votre seed, et pas seulement votre version actuelle
- Ne paniquez pas, mais agissez rapidement : transférez vos fonds vers un nouveau wallet, avec une seed générée sur un firmware corrigé
- Envoyez d'abord une transaction test de faible montant avant de transférer l'intégralité de vos fonds, en vérifiant soigneusement l'adresse de destination
- Considérez toutes les adresses générées par le même appareil comme potentiellement compromises — un seul Coldcard générant souvent plusieurs comptes
- Restez vigilant face aux arnaques opportunistes qui surgissent généralement après ce type d'incident très médiatisé (faux support technique, faux outils de « récupération de fonds »)
- Pour les configurations complexes (multisig, montants importants), il peut être pertinent de solliciter l'accompagnement d'un professionnel de la sécurité crypto
Comment limiter ce type de risque à l'avenir
Cet incident rappelle plusieurs bonnes pratiques valables pour n'importe quel hardware wallet, quel que soit le fabricant :
- Maintenir son firmware à jour, les correctifs publiés par les fabricants adressant justement ce type de vulnérabilité connue
- Privilégier des appareils dont la génération d'aléa repose sur une puce matérielle certifiée (norme EAL), auditée par des laboratoires de sécurité indépendants
- Envisager une configuration multisignature pour les montants importants, répartissant le risque entre plusieurs appareils ou parties
- Acheter son matériel exclusivement auprès de distributeurs officiels, pour garantir l'authenticité et la traçabilité de l'appareil
Il est important de préciser que le Coldcard n'est pas un produit distribué par Neowalt. Notre sélection de hardware wallets se limite aux modèles Tangem, CoolWallet, ELLIPAL, SafePal et Keystone, chacun sourcé directement auprès de son fabricant, avec puce sécurisée certifiée EAL et garantie d'authenticité.
FAQ : hack Coldcard
Qu'est-ce que le hack Coldcard ?
Il s'agit d'une faille du firmware du hardware wallet Coldcard, fabriqué par Coinkite, qui a permis à un ou plusieurs attaquants de reconstituer des seed phrases et de dérober des Bitcoin, sans accès physique aux appareils concernés.
Combien d'argent a été volé lors du hack Coldcard ?
Selon les estimations les plus récentes, environ 1 367 BTC (près de 89 millions de dollars) ont été dérobés sur plus de 4 500 adresses, certaines estimations plus larges évoquant plus de 100 millions de dollars au total.
Mon Bitcoin est-il en sécurité si j'ai un autre hardware wallet ?
Cette faille est spécifique au firmware de Coldcard. Elle ne concerne pas les autres fabricants de hardware wallets, mais rappelle l'importance de maintenir son firmware à jour et de choisir un appareil dont la génération de clés repose sur une puce sécurisée certifiée.
Que faire si mon Coldcard est concerné ?
Transférez vos fonds vers un nouveau wallet avec une seed générée sur un firmware corrigé, en testant d'abord avec un petit montant, et considérez toutes les adresses générées par l'appareil comme potentiellement compromises.
En résumé
Le hack du Coldcard rappelle qu'un hardware wallet n'est sûr que si sa conception logicielle l'est également. Contrairement à un piratage d'exchange, cet incident n'illustre pas un risque de contrepartie, mais un risque technique lié au firmware et à la génération des clés. Il ne remet pas en cause le principe de l'auto-conservation, mais souligne l'importance de choisir un matériel fiable, à jour, et acheté auprès de sources garanties.
Cet article a une vocation exclusivement informative et éducative. Il ne constitue en aucun cas un conseil financier, juridique ou en investissement.
Prêt à sécuriser vos cryptomonnaies ?
Découvrez notre comparateur complet et trouvez le hardware wallet adapté à votre stratégie, avec puce sécurisée certifiée EAL.
Ouvrir le comparateur