"Mes bitcoins ont été vidés en 7 minutes" : la faille Coldcard qui sème la panique et affole les compteurs du réseau Bitcoin

Un braquage ultra-ciblé, plus de 100 millions de dollars en bitcoins envolés en quelques minutes, et une certitude qui vacille : même les coffres-forts matériels ne sont plus intouchables. La faille Coldcard, mise au jour fin juillet, a déclenché une onde de choc qui ne se lit pas seulement dans les témoignages de victimes, mais directement dans la blockchain.

Le 31 juillet 2026, le réseau Bitcoin a enregistré 967 546 adresses actives en vingt-quatre heures, un niveau inédit depuis décembre 2024 qui frôle la barre symbolique du million. La moyenne de juillet tournait autour de 627 061 adresses, soit un bond de 54 % en un jour. Derrière ce chiffre, une panique très précise, alimentée par la crainte que des clés privées générées avec des hardware wallets Coldcard aient été rendues prévisibles. Une peur qui laisse des traces.

Un record d’adresses actives qui raconte une panique ciblée

Dans les métriques on-chain, une adresse active correspond à une adresse Bitcoin qui envoie ou reçoit une transaction sur une période donnée. Autrement dit, 967 546 adresses actives ne signifient pas autant d’utilisateurs, mais un sursaut d’activité : consolidation d’UTXO, déplacement de fonds, rotation de seeds. Une partie des adressses actives correspond donc à des mêmes détenteurs qui réorganisent leur sécurité plutôt qu’à des nouveaux arrivants.

Ce mouvement apparaît clairement : en cinq jours, les bitcoins déposés sur les plateformes d’échange ont augmenté de 22 135 BTC, passant de 2 654 863 à 2 676 998 BTC. « Il s’agit d’une activité on-chain motivée par la peur. Les détenteurs qui migrent leurs seeds et déploient leurs fonds vers une garde alternative reflètent une réponse de sécurité opérationnelle, et non un changement de conviction », analyse Glassnode, cité par Cointribune. Sur les réseaux sociaux, la société Santiment a mesuré seulement 0,58 commentaire positif pour chaque commentaire négatif sur le sujet, un ratio de pessimisme plus marqué que lors des épisodes FTX, Mt. Gox ou du krach du COVID-19. « La self-custody est finie », a tweeté un utilisateur, cité par Cointribune, résumant la sidération d’une partie de la communauté.

Au cœur de la faille Coldcard : attaque éclair et générateur aléatoire bridé

Le premier assaut massif a été observé le 30 juillet 2026 : en quatre blocs consécutifs, 594,5 BTC ont été balayés en exactement 41 minutes, pour un montant d’environ 70 millions de dollars, soit plusieurs dizaines de millions d’euros. Galaxy Research recense 1 596 BTC volés confirmés, et 2 055 BTC si l’on inclut les adresses suspectes, ce qui porte le total à quelque 130 millions de dollars. De son côté, Galaxy Research, relayé par Cryptoast, fait état de 1 083 bitcoins vidés depuis 1 196 adresses lors de cette première vague, puis d’un total de 1 367,05 BTC siphonnés sur 4 585 adresses, soit près de 89 millions de dollars. Face à cette brutalité, des victimes racontent avoir assisté, impuissantes, au drainage de leurs fonds : « Dès que ça s’est chargé, j’ai su que j’étais foutu parce que j’ai vu des lignes rouges pour les retraits », a relaté Jonathan Goodman, cité par Cointribune, dont trois portefeuilles ont été vidés en sept minutes.

Sur le plan technique, l’origine du désastre tient à une erreur minuscule, mais lourde de conséquences. Une directive #ifndef dans un ancien firmware a désactivé le générateur aléatoire matériel des appareils, réduisant l’entropie de 128 bits à 40 bits sur certains modèles Coldcard plus anciens. L’attaque décrite par les chercheurs consiste à profiter de cet espace de clés dramatiquement réduit pour recalculer hors ligne des seeds qui auraient dû être impossibles à deviner. « Nous devons supposer que quelqu’un a utilisé l’IA pour passer en revue les anciennes versions de notre firmware et a découvert ce problème », a reconnu Coinkite, le fabricant de Coldcard, cité par Cointribune. Même les utilisateurs ayant importé une seed générée avec des dés peuvent rester exposés s’ils ont utilisé des fonctions avancées du wallet, ce qui explique l’ampleur de la réaction sur la chaîne.

Dans ce contexte, plusieurs voix insistent sur le fait que la souveraineté ne rime pas automatiquement avec sécurité. « Coldcard montre que la self-custody déplace le risque, elle ne le supprime pas », a prévenu Ari Redbord de TRM Labs, cité par Cointribune. « Cela expose le faux-semblant de votre crypto hors ligne », a renchéri Aneirin Flynn de Failsafe, cité par le même média. Tandis que le cours du BTC oscille entre 62 000 et 65 000 dollars, soit un niveau comparable en euros, les experts de la sécurité recommandent aux détenteurs de Coldcard de générer de nouvelles adresses sur des dispositifs d’autres fabricants et d’y transférer leurs bitcoins, éventuellement en commençant par de petites sommes test.