Le piratage de Coldcard déclenche 15 milliards de dollars de transferts en Bitcoin

Le hack de Coldcard ressemble de plus en plus à un fait divers crypto. Sauf que la vraie histoire ne se cache pas dans les 130 millions volés... Elle se cache dans les 15 milliards de dollars qui ont fui en transfert bitcoin.

En bref

• 15 milliards contre 130 millions : pour chaque dollar volé lors du piratage Coldcard, une centaine de dollars a été déplacée par prudence vers des wallets plus sûrs.
• Une faille vieille de 5 ans, débusquée par l'IA : le bug d'entropie dormait dans le code public de Coldcard depuis 2021. Il aura fallu une IA pour le repérer.
• La défense doit désormais tourner à la vitesse de l'attaque : diversifier ses wallets réduit le risque sans l'éliminer. La vraie ligne de défense passe par la rapidité à auditer son propre code.

Au moment où les pirates craquaient les portefeuilles bitcoin de Coldcard l'un après l'autre, il se passait autre chose... Bien plus massif... Et en silence. Le CEO de Casa, Nick Neuman révèle un mouvement colossal de 233 000 BTC, soit environ 15 milliards de dollars qui ont quitté les wallets détenus depuis plus de 155 jours. Cette catégorie que les analystes surveillent comme le baromètre des investisseurs sérieux, patients, pas du genre à paniquer pour un tweet. Le plus drôle est qu'une partie de ce volume ne venait même pas d'utilisateurs Coldcard.

Mais des détenteurs Ledger et Trezor qui ont profité du choc pour migrer vers du multisig, car ayant peur d'être peut-être les prochains sur la liste. Pour chaque dollar volé, c'est une centaine de dollars qui a été déplacée par prudence, et Glassnode confirme l'ampleur du mouvement. La réserve des détenteurs long terme est passée de près de 15 millions de bitcoins à environ 14,7 millions. La plus forte baisse hebdomadaire depuis décembre 2024. Pour Neuman, c'est la preuve que l'auto-garde distribuée fonctionne comme un système immunitaire, pas comme une faiblesse.

Le piratage des wallets bitcoin de Coldcard dépasse à présent le simple fait divers. Sur Bloomberg, Ian Rogers de Ledger a expliqué que l'IA avait changé la nature même de la menace. Pas en créant de nouvelles failles. En donnant aux attaquants des outils de découverte radicalement plus rapides. Charles Guillemet, CTO de Ledger, va plus loin : cette faille a dormi cinq ans dans du code public, jusqu'à ce qu'un attaquant utilise l'IA pour la repérer. Cinq ans. La preuve qu'être open source et être réellement audité, ce n'est pas la même chose...

Un dépôt GitHub public consultable depuis 2021 ne sert à rien tant que personne ne prend la peine de vraiment le regarder. Un incident qui sonne à présent comme un avertissement pour toutes les entreprises qui développent du matériel ou du logiciel Bitcoin. Il faudrait alors revoir en urgence le code sensible, avant qu'une IA malveillante ne s'en charge à sa place. La défense doit désormais tourner à la même vitesse que l'attaque. Ce qui, avouons-le, ne laisse plus vraiment de place à la sieste entre deux audits.

Après le piratage des portefeuilles Bitcoin (BTC) de Coldcard, la solution serait de diversifier ses wallets entre plusieurs fabricants, ce qui réduit le risque, sans jamais l'éliminer complètement. Rien en matière de sécurité crypto n'est garanti à 100 %. La vraie ligne de défense ne se limite plus au hardware aujourd'hui... Elle passe aussi par la vitesse à laquelle chaque acteur de l'écosystème audite son propre code. Ceci, avant qu'une IA mal intentionnée ne s'en charge en premier.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.