Attaque contre les portefeuilles Bitcoin : il dit avoir perdu 1,6 million de dollars

Un hack d'ampleur inédite sur le hardware wallet Coldcard

Le piratage des hardware wallets Coldcard continue de prendre de l'ampleur. Au moment d'écrire ces lignes, 1 431,97 Bitcoin, soit près de 90 millions de dollars, auraient déjà été dérobés sur 5 415 adresses compromises.

Cette vulnérabilité affecte certaines seeds générées par des versions de firmware défectueuses, ce qui permet à des attaquants de retrouver les phrases de récupération par force brute. Alors qu'une quatrième vague d'attaques coordonnée pourrait encore alourdir le bilan, les témoignages de victimes présumées se multiplient sur les réseaux sociaux.

À ce stade, ces récits n'ont pas pu être vérifiés de manière indépendante et doivent donc être considérés avec prudence. Ils donnent néanmoins un aperçu de l'impact humain de ce qui pourrait constituer l'un des plus importants incidents de sécurité ayant touché un hardware wallet Bitcoin.

Le cours du Bitcoin évolue autour de 62 500 dollars, en baisse de 4,1 % sur les sept derniers jours. Malgré l'ampleur du hack, aucun mouvement de panique majeur n'a été constaté pour le moment.

1,6 million de dollars dérobés

L'un des témoignages les plus relayés est celui de Jonathan Goodman. Sur X, il affirme avoir perdu 18,25245043 BTC, soit un peu plus de 1,6 million de dollars, lors du piratage survenu le 29 juillet.

$1.6 million dollars in Bitcoin was drained from my account on July 29th in the Cold Card wallet hack.

My Bitcoin was in cold storage. My keys were on a ColdCard device kept in a safety deposit box that had never been connected to the internet.

--- Jonathan Goodman 🇨🇦 (@itscoachgoodman) August 1, 2026

Il explique avoir respecté les pratiques habituellement recommandées pour protéger ses fonds : une seed phrase conservée hors ligne, plusieurs sauvegardes physiques réparties dans des coffres-forts et un Coldcard conservé dans un coffre bancaire, jamais connecté à Internet en dehors de sa configuration initiale.

Hacké pendant ses vacances en famille

D'autres utilisateurs racontent une expérience similaire. Tim Lamb explique avoir appris le vol de ses 2 BTC, soit environ 125 000 dollars, alors qu'il passait des vacances avec sa famille.

Alerté vendredi, il hésite d'abord à écourter ses vacances. Ce n'est que le samedi soir qu'il demande à un voisin de récupérer sa sauvegarde. Lorsqu'il restaure son portefeuille le dimanche matin, ses bitcoins ont disparu.

400 000 dollars envolés

Autre victime présumée, Adam Carson affirme avoir perdu 6,42 BTC, soit plus de 400 000 dollars au cours actuel. Selon son témoignage, son Coldcard n'avait jamais été connecté à Internet et était conservé dans un coffre-fort bancaire.

Il ajoute qu'il n'a plus beaucoup d'espoir de récupérer ses fonds.

Des années de DCA perdues

Sur Reddit, un autre utilisateur affirme avoir perdu un peu plus de 3 BTC, soit près de 190 000 dollars au cours actuel. Il raconte avoir investi 250 dollars par semaine pendant plusieurs années selon une stratégie de Dollar Cost Averaging (DCA), avant de transférer l'ensemble de ses bitcoins sur un Coldcard en 2022, suivant les recommandations de la communauté.

Avec le recul, il estime qu'il aurait peut-être dû répartir ses fonds sur plusieurs portefeuilles, tout en rappelant qu'il avait simplement suivi ce qui était alors présenté comme les meilleures pratiques de sécurité.

La communauté sous le choc

Sur X comme sur Reddit, de nombreux membres de la communauté Bitcoin expriment leur inquiétude face à un incident qui ébranle la confiance dans l'un des hardware wallets les plus réputés du marché. L'utilisateur Sky a notamment publié une lettre ouverte aux pirates, rappelant qu'ils détiennent désormais l'une des piles de bitcoins les plus blacklistées de l'histoire.

D'autres, comme wale.moca, s'interrogent sur les solutions de conservation qui peuvent encore être considérées comme fiables après un tel événement.

De son côté, Coinkite, le fabricant de Coldcard, a annoncé avoir suspendu les expéditions et détruit tous les appareils encore équipés du firmware vulnérable. Le correctif publié ne protège toutefois que les nouvelles seeds générées après la mise à jour, obligeant les utilisateurs concernés à créer un nouveau portefeuille puis à y transférer leurs fonds.