Bug du firmware de Coldcard lié à un vol d’environ 1 816 BTC ; l’effondrement de l’entropie de la graine déclenche une alerte de self-custody
Un bug du micrologiciel Coldcard (v4.0.1, publié en mars 2021) a été lié au vol d’environ 1 816 BTC provenant de plus de 5 200 adresses. À certains moments, des estimations ont suggéré que les pertes pourraient dépasser 130 M$ à mesure que les « sweeps » se poursuivent.
Le bug du firmware Coldcard aurait affaibli l’aléatoire utilisé pour générer les seeds de portefeuille. Comme les seeds servent de base aux clés privées Bitcoin, l’entropie aurait pu baisser d’environ 128 bits (idéal) à aussi peu que ~40 bits. La récupération des clés par brute force deviendrait alors plus faisable avec un matériel moderne.
Des estimations antérieures étaient plus basses (par exemple ~1 367 BTC sur 4 585 adresses), mais des « vagues » ultérieures de sweeps d’adresses ont fait grimper le total. Coinkite n’a pas publié de chiffre final et indique réaliser un post-mortem. L’exploit ne nécessitait pas de connexion Internet, ce qui signifie que tout portefeuille initialisé avec le firmware compromis était vulnérable dès sa création.
Pour les traders et les détenteurs : vérifiez si la seed de votre Coldcard a été créée avec le firmware v4.0.1. Si oui, envisagez de transférer les fonds vers un portefeuille généré sur un autre appareil vérifié. La poursuite des sweeps pourrait peser sur le sentiment concernant les configurations de self-custody non vérifiées. À l’inverse, Galaxy Research estime que l’incident pourrait aussi accroître la demande de produits d’investissement Bitcoin régulés, avec une garde (custody) auditée.
Contexte du prix du Bitcoin : la nouvelle du vol a éclaté lorsque le BTC se trouvait autour de 63 000 $. La volatilité à court terme pourrait donc être davantage entraînée par le sentiment lié au risque de self-custody que par des effets macro fondamentaux du secteur crypto.
Neutral
Il s’agit d’un incident de sécurité lié à la self-custody, associé à un bogue du firmware Coldcard, et non d’une défaillance du Bitcoin au niveau du protocole. L’impact immédiat est concentré sur les utilisateurs concernés qui ont généré des seed avec un firmware compromis, de sorte que les fondamentaux directs du BTC sont probablement inchangés.
À court terme, les traders pourraient observer une volatilité motivée par le sentiment autour de la self-custody et du risque des hardware wallets, surtout si davantage d’adresses et de comptes de portefeuille touchés sont signalés. Toutefois, les rapports les plus récents indiquent que les vecteurs d’attaque sont techniques et pilotés par des balayages d’adresses (address-sweep), ce qui limite les retombées sur des récits plus larges du marché.
À plus long terme, l’incident pourrait modestement faire évoluer la demande vers des véhicules d’investissement Bitcoin réglementés, avec une garde (custody) audité et une conformité, ce qui constitue un facteur de soutien pour le marché (bien que indirect). En netant les deux effets, l’impact attendu sur le prix du Bitcoin est surtout neutre, plutôt que clairement haussier (bullish) ou baissier (bearish).