JANUSZ KRYPTON : la peur s'installe dans la crypto-rue. Coldcard "hacké" - Ledger et Trezor sont-ils en sécurité ?

Dans le monde de la crypto, nous disons : "pas vos clés, pas vos pièces". C'est pourquoi nous achetons des portefeuilles matériels, ces mythiques "coffres froids", et pensons que nous pouvons dormir sur nos deux oreilles. Puis, soudainement, au début d'août 2026, le marché est secoué par une nouvelle - Coldcard, l'icône de la sécurité, le portefeuille des "maximalistes" bitcoin, est tombé victime d'une "attaque de hackers". Que s'est-il passé ? Ledger et Trezor sont-ils également menacés ? J'ai posé la question à un expert.
photo. Everett Collection / / Shutterstock

Beaucoup d'entre vous sont tombés dans la panique. Mon téléphone surchauffait. "Janusz, que faire ? Mon Ledger va-t-il être hacké ? Trezor est-il en sécurité ? Comment vivre ?" Restez calme. Nous allumons la lumière de la connaissance. Pour vous expliquer de manière fiable ce qui s'est passé, sans propager de FUD, j'ai contacté Łukasz Mikuła, spécialiste en cybersécurité et membre de notre conseil d'experts. Łukasz a analysé les détails techniques et m'a répondu dans un long e-mail.

Aujourd'hui, sur la base des informations qu'il m'a fournies et des dernières nouvelles médiatiques, nous décomposons l'affaire Coldcard en éléments essentiels.

État des lieux (5 août 2026) : les pertes liées à l'erreur de Coldcard pourraient atteindre jusqu'à 130 millions de dollars (plus de 2000 BTC) provenant de plus de 7700 adresses. Le compteur continue de grimper.

Que s'est-il passé ? Anatomie d'un "hack" qui n'était pas un hack

Commençons par l'essentiel : personne n'a cassé la cryptographie du bitcoin. Personne n'a physiquement piraté les appareils. Le problème est beaucoup plus perfide et concerne le moment où... vous créez un portefeuille.

Łukasz Mikuła m'a expliqué ce phénomène dans son e-mail en deux phrases simples.

• En résumé, il s'agissait du fait que lorsque vous créez un portefeuille sur Coldcard, une clé privée aléatoire n'était pas générée, mais il était possible de deviner quelles clés ces portefeuilles pouvaient générer. Et quelqu'un a lancé un script et a généré les mêmes portefeuilles que ceux des clients de Coldcard...

C'est tout en quelques mots. Pour décrire l'événement plus en détail, nous devons plonger un peu plus profondément. Votre clé privée (je vous renvoie à la leçon 2 de notre série) est en réalité un énorme nombre. Łukasz rappelle qu'elle a jusqu'à 78 chiffres en notation décimale, et pour comparaison, on estime que le nombre total d'atomes sur Terre est "seulement" de 10⁵⁰. Ce sont des valeurs astronomiques qui garantissent que personne ne générera jamais par accident la même clé que vous.

• L'idée est que si seulement moi je connais mon grand nombre secret, il fonctionne comme un mot de passe imprévisible et super complexe. Et c'est OK - écrit Łukasz - Le problème est d'où vient ce nombre. Lorsque vous configurez un portefeuille matériel, l'appareil utilise un Générateur de Nombres Aléatoires (RNG) pour créer cette clé (représentée par 12 ou 24 mots de seed).

Et c'est là que se trouve le drame de Coldcard. L'analyse de l'équipe Block's Bitcoin Engineering and Security révèle que l'erreur se trouvait dans le logiciel (firmware), qui dans certaines situations ignorait un bon générateur de hasard matériel, basculant vers un équivalent logiciel de moindre qualité.

• En programmation, il existe des composants prêts à l'emploi qui garantissent que le tirage est toujours aléatoire... mais dans le cas de ColdCard, ce composant était désactivé. On ne sait pas pourquoi - simplement à un certain endroit dans le code du logiciel du portefeuille, une valeur "0" était assignée au module de hasard, ce qui signifie qu'il était désactivé. Cela pourrait être le résultat d'un manque de communication au sein de l'équipe de développement, ou peut-être autre chose. Et c'est là que c'est le plus surprenant, que l'appareil avait un bon générateur de hasard à bord, mais ne l'a jamais utilisé - explique Łukasz Mikuła.

Conséquences ?

Les journalistes de "CryptoSlate" parlent de "l'effondrement de la randomisation". Au lieu d'un nombre inimaginable de combinaisons, le nombre de portefeuilles possibles a tellement diminué qu'un hacker avec un simple script sur son ordinateur pouvait simplement les vérifier un par un jusqu'à tomber sur ceux appartenant aux clients. Ce n'était pas une attaque sur votre appareil dans le tiroir, mais une attaque sur le processus même de la création de votre portefeuille.

Qui est derrière cela et le graffiti des hackers

Rien ne se cache sur la blockchain. Les chercheurs de Galaxy Research ont identifié les adresses appartenant à l'attaquant. Fait intéressant, l'affaire prend un tournant curieux. Comme le rapporte CoinDesk, le portefeuille du hacker, qui contient des BTC volés, est devenu un tableau d'affichage public. Les gens utilisent la fonction OP_RETURN (qui permet d'ajouter un court texte à une transaction Bitcoin) pour envoyer des paiements dérisoires au hacker avec des messages.

Certains implorent : "Tu as volé, s'il te plaît, rends au moins un peu".

D'autres mènent des négociations plus fermes : "Rends 80 % de mes 5 BTC".

Il y a aussi des opportunistes offrant au hacker des services de blanchiment d'argent pour une commission de 10 %.

C'est de la folie.

Étiez-vous client de Coldcard ? C'est urgent, agissez !

La société Coinkite (fabricant de Coldcard) a publié un communiqué urgent. Si vous avez utilisé les modèles Mk2 ou Mk3, ou les Mk4, Q, Mk5 plus récents avec un ancien logiciel - vous êtes en danger. Voici les instructions clés. Attention, car beaucoup commettent une erreur ici :

• La simple mise à jour du logiciel ne suffit pas - avertit Łukasz Mikuła - Il faut le faire, mais cela corrige une faille pour l'avenir et ne change pas la clé qui pourrait déjà être compromise. Donc, vous devez créer un nouveau portefeuille - générer une nouvelle phrase de récupération, et non vous connecter avec l'ancienne sur un autre portefeuille matériel - et transférer les fonds là-bas.

Il circule sur Internet un excellent résumé de cette situation : aucun stockage sécurisé ne résoudra le problème si le mot de passe était faible dès le départ. Même si vous gardiez une feuille avec ces 12 ou 24 mots dans un coffre-fort en titane sous terre, si ces mots pouvaient être facilement devinés par un ordinateur, le hacker pouvait quand même voler l'argent.

Ledger et Trezor vont-ils aussi céder ? Comment vivre ?

C'est la question clé. L'affaire Coldcard pourrait-elle être le prélude à un Armageddon pour toute l'industrie des portefeuilles matériels ? CoinDesk cite Vincent Bouzon, un expert de Ledger, qui essaie de rassurer : "C'est un échec d'une mise en œuvre, et non un verdict sur la garde autonome".

Bouzon ajoute que les alternatives sont pires - les portefeuilles logiciels sont encore plus risqués, et les échanges ne sont que des reconnaissances de dette, pas une véritable propriété.

Et que dit notre expert, Łukasz Mikuła, que j'ai interrogé directement : "Ledger et Trezor sont-ils résistants ?" Voici ce qu'il m'a répondu :

• C'est une question difficile - la curiosité professionnelle ne me permet pas de dire que quelque chose est "sécurisé" sans jeter un œil au code... d'ailleurs, lors de l'une de nos premières discussions, j'ai dit qu'il n'y a pas de lieu idéal pour stocker des cryptomonnaies, et chacun a ses avantages et ses inconvénients, et je m'en tiens toujours à cela.

Łukasz souligne un problème fondamental : il n'est pas en mesure de réaliser un audit du code, surtout là où le code n'est pas ouvert, et c'est ainsi que Ledger fonctionne dans des aspects clés. Il peut seulement "supposer de manière optimiste" que des marques réputées tireront des leçons de cette expérience. Cependant, la conclusion la plus importante de Łukasz est préoccupante :

• Je ne m'attendrais pas maintenant à une vague d'attaques contre les portefeuilles matériels, mais les attaquants, en particulier les groupes organisés qui ont un excellent soutien technologique, vont également surveiller ce type de solutions, donc une tâche responsable se présente aux fabricants de portefeuilles.

La leçon de toute cette affaire est simple et désagréable : dans le monde des cryptomonnaies, le dicton "pas vos clés, pas vos pièces" prend un nouveau sens. Aujourd'hui, il faut aussi ajouter : il est important non seulement de savoir qui détient la clé, mais aussi qui et comment elle a été produite pour vous.

Vous trouverez tous les enregistrements de mon journal à cet endroit. Je vous invite également à visiter ma page Facebook. Vous pouvez envoyer des e-mails à l'adresse janusz.krypto@bankier.pl.