Faille Coldcard : Comment un zéro dans le firmware a compromis des clés Bitcoin pendant 5 ans

Temps de lecture : 12 min

Faille du firmware Coldcard : anatomie d’un braquage cryptographique à 70 millions de dollars

Le 30 juillet 2026, 1 196 adresses Bitcoin appartenant à l’appareil réputé le plus inviolable du marché ont été vidées en seulement 41 minutes, entraînant la perte de 70 millions de dollars. Une simple ligne de code dans le firmware des portefeuilles Coldcard a réduit l’imprévisibilité des clés privées pendant plus de cinq ans, laissant croire aux utilisateurs que leurs actifs étaient en sécurité hors-ligne. En tant qu’ancien architecte infrastructure, j’ai disséqué de nombreuses pannes et failles système au cours de ma carrière, mais l’impact de la firmware Coldcard faille sur l’écosystème Bitcoin dépasse tout ce que nous avons observé ces dernières années. Des utilisateurs pensaient détenir des clés Bitcoin devinables sans le savoir, sous la protection supposée de la société Coinkite.

Sur le terrain, ce braquage automatisé à grande échelle démontre une préparation minutieuse. L’attaquant n’a pas cherché à s’introduire physiquement chez les victimes ni à pirater leurs ordinateurs. Il a exploité une faiblesse mathématique structurelle créée au moment même où les phrases de récupération (seeds BIP39) ont été générées sur l’appareil. Décortiquons la chronologie et l’impact direct de ce désastre sur les détenteurs de portefeuilles individuels.

La chronologie de l’attaque du 30 juillet 2026

Quand la vulnérabilité Coldcard a-t-elle été exploitée ? L’assaut s’est déroulé à une vitesse fulgurante dans l’après-midi du 30 juillet 2026. Selon The Hacker News, 1 196 adresses Bitcoin ont été vidées en 41 minutes en 2026. Ce n’était pas une fuite progressive ni une tentative d’extorsion par étapes : l’attaquant a balayé le mempool et la blockchain publique avec des transactions pré-signées, s’emparant des UTXO non sécurisés avant même que les équipes d’alerte ne puissent réagir.

Selon Korben, 1 082 bitcoins ont été dérobés pour une valeur approximative de 70 millions de dollars en 2026. Les analyses on-chain montrent que le hacker a centralisé les jetons volés vers une poignée d’adresses de regroupement avant de les ventiler à travers des protocoles de mixage. Combien de Bitcoins ont été volés lors de la faille Coldcard ? La réponse exacte est 1 082 BTC, représentant l’épargne d’une vie pour des centaines d’investisseurs et de TPE qui s’en remettaient à la réputation d’étanchéité d’air-gap de Coinkite.

Un impact dévastateur sur les portefeuilles individuels (Single-sig)

Ce qui compte vraiment dans la compréhension de cette crise, c’est de réaliser que la totalité des pertes s’est concentrée sur les configurations à signature unique (Single-sig). Dans ce schéma classique, une seule clé privée gère l’accès aux Bitcoins. Si le processus de génération de cette clé unique est défaillant, toute la protection s’effondre d’un coup, sans le moindre sursis.

En pratique, les victimes qui possédaient une Coldcard Mk3, Mk4, Mk5 ou Q configurée en Single-sig ont vu leur solde tomber à zéro en quelques secondes sans qu’aucun message d’erreur n’apparaisse sur leur écran hardware. Le mécanisme de sécurité physique n’a servi à rien, car le problème se situait en amont : la clé privée créée des mois ou des années plus tôt manquait cruellement d’entropie. Pour saisir comment une telle bévue a pu persister durant cinq années au sein d’un code source réputé audité, il convient d’analyser l’erreur de configuration initiale du firmware.

L’origine technique de l’erreur : comment un zéro dans MICROPY_HW_ENABLE_RNG a tout déstabilisé

La faille du firmware Coldcard provient de la définition du paramètre MICROPY_HW_ENABLE_RNG à zéro dans la version 4.0.0 (mars 2021). La bibliothèque libngu vérifiait uniquement l’existence du paramètre et non sa valeur booléenne, désactivant le générateur aléatoire sécurisé au profit de l’algorithme Yasmarang, prévisible et très faible en entropie.

Sans langue de bois, cette anomalie représente un cas d’école catastrophique de mauvaise gestion des variables de compilation dans les systèmes embarqués C et MicroPython. Pendant plus de cinq ans, les développeurs et les utilisateurs pensaient s’appuyer sur la puce matérielle TRNG (True Random Number Generator) intégrée aux composants du boîtier. Mais à cause d’une confusion entre présence de constante et valeur logique, le système coupait systématiquement le générateur physique. L’erreur MICROPY_HW_ENABLE_RNG zéro a ainsi silencieusement aveuglé la sécurité de l’appareil.

L’erreur d’intégration de MicroPython de mars 2021

Pourquoi le paramètre MICROPY_HW_ENABLE_RNG à zéro a-t-il créé une faille ? Pour le comprendre, il faut remonter à la publication de la version 4.0.0 du firmware par Coinkite en mars 2021. À cette époque, l’équipe d’ingénierie a restructuré la couche d’abstraction matérielle pour unifier le code entre la Coldcard Mk3 et la future Mk4. Lors du nettoyage des fichiers de headers MicroPython, la variable MICROPY_HW_ENABLE_RNG a été explicitement positionnée à 0 dans l’intention d’effectuer un test de secours temporaire.

Selon The Hacker News, il y a eu 5 ans de vulnérabilité active depuis la version 4.0.0 publiée en mars 2021 en 2026. Cette valeur zéro est restée figée dans la branche principale du dépôt sans que personne ne remarque ses conséquences réelles. Le compilateur n’a émis aucun avertissement, la suite de tests unitaires automatiques vérifiait uniquement la génération complète d’un objet seed au format BIP39 sans mesurer l’entropie effective de la sortie, et la version a été validée pour la production.

La vérification de présence vs la vérification de valeur dans libngu

Comment la bibliothèque libngu a-t-elle ignoré la valeur zéro ? La bibliothèque propriétaire libngu (Never Give Up), développée par Coinkite pour gérer la cryptographie bas niveau, recevait le paramètre de configuration pour orchestrer l’alimentation du pool d’entropie. Au lieu d’écrire un contrôle d’égalité stricte du type if (MICROPY_HW_ENABLE_RNG != 0), le code vérifiait simplement la déclaration de la macro.

Puisque la constante existait, libngu considérait que MicroPython prenait en charge la collecte matérielle du TRNG. Mais au niveau du kernel MicroPython, la valeur 0 désactivait l’appel aux registres physiques du microcontrôleur STM32. Le pool d’entropie ne recevait donc aucun apport d’aléa physique et se rabattait en urgence sur un générateur pseudo-aléatoire de secours. C’est précisément cette bascule dégradée qui a fait passer la sécurité des clés d’un niveau militaire à une simple devinette informatique.

De 128 à 40 bits d’entropie : l’effondrement de la sécurité des clés Bitcoin

En pratique, la génération d’une clé privée Bitcoin exige une source d’entropie de 128 bits minimum pour une phrase de 12 mots, ou 256 bits pour 24 mots. Cette imprévisibilité garantit qu’aucune entité dans l’univers ne puisse recalculer la même séquence. Mais en coupant le TRNG matériel, le firmware s’est retrouvé tributaire du générateur aléatoire Yasmarang, un PRNG (Pseudo-Random Number Generator) de secours qui n’a jamais été conçu pour de la cryptographie de haute sécurité.

Ce qui compte vraiment sur le plan cryptographique, c’est l’écart fondamental entre un TRNG matériel et un PRNG logiciel non sécurisé. Un TRNG extrait du bruit physique (thermique, quantique ou tension de composants) totalement imprédictible. À l’inverse, le générateur aléatoire Yasmarang applique des équations déterministes à partir d’un état initial (une graine ou seed interne). Si l’état initial contient peu de variables changeantes, les tirages deviennent faciles à reconstituer pour un attaquant extérieur.

Pourquoi Yasmarang ne convient pas à la cryptographie

Qu’est-ce que le générateur Yasmarang utilisé par Coldcard ? C’est un algorithme ultra-léger imaginé pour fournir du pseudo-aléa rapide sur de petits microcontrôleurs dépourvus de fonctions cryptographiques avancées. Il repose sur des rotations d’octets et des opérations XOR simples. Privé du flux d’entropie physique du TRNG, Yasmarang ne pouvait s’initialiser qu’avec les rares variables système disponibles au démarrage : l’horloge système (timestamp) et l’identifiant unique du composant (Chip ID).

Le problème réside dans le fait que ces variables d’initialisation possèdent une plage de valeurs extrêmement réduite. L’horloge d’un appareil au moment du déballage et de la configuration initiale est restreinte à quelques mois ou années. L’identifiant de la puce, quant à lui, suit des séries de fabrication séquentielles prévisibles chez les fondeurs de semi-conducteurs. Au lieu d’explorer un espace de 2¹²⁸ possibilités, le générateur s’est retrouvé confiné dans un sous-ensemble minuscule d’états possibles.

Comparatif Mk3 (40 bits) vs Mk4, Mk5 et Q (72 bits)

Quelle était l’entropie réelle des clés générées sur Mk3 et Mk4 ? Selon Coinkite Security Advisory, l’entropie a été réduite à 40 bits sur Coldcard Mk3 et à 72 bits sur Mk4, Mk5 et Q au lieu de 128 bits en 2026. Cette baisse d’entropie spectaculaire modifie radicalement le coût d’une attaque par force brute. Sur la Mk3, passer de 128 bits à 40 bits d’entropie revient à diviser la difficulté de recherche par un facteur de 2⁸⁸. Une simple carte graphique grand public peut tester l’ensemble du domaine de 40 bits en une fraction de seconde.

Sur les modèles Mk4, Mk5 et Q, la présence d’un second élément d’horloge légèrement plus précis a porté l’entropie effective à 72 bits. Bien que 72 bits paraissent importants au premier abord, cet espace reste parfaitement accessible aux fermes de calcul modernes et aux clusters de minage réorientés. Le tableau ci-dessous résume la dégradation de sécurité selon les versions matérielles :

Cette fracture dans la génération d’aléa démontre qu’une protection physique air-gapped ne sert à rien si l’algorithme sous-jacent produit des clés prévisibles. Voyons à présent comment l’attaquant a exploité cette faiblesse mathématique sans jamais approcher physiquement les boîtiers des victimes.

Comment l’attaquant a deviné les seeds sans jamais toucher aux appareils physiques

Un hacker a-t-il besoin de votre Coldcard pour voler vos Bitcoins ? Absolument pas. Sur le terrain, l’une des erreurs d’appréciation les plus fréquentes chez les détenteurs de hardware wallets est de penser que la sécurité dépend de la détention physique de la puce sécurisée. La puce protège contre le vol physique de l’appareil, mais la clé privée reste une entité purement mathématique. Si la clé est générée à partir d’un ensemble restreint de combinaisons, n’importe qui sur la planète possédant la même formule algorithmique peut la déduire à distance.

Dans le cas présent, l’attaquant s’est préparé en exécutant une attaque brute force clés bitcoin 72 bits d’entropie sur ses propres serveurs hors-ligne. Il lui a suffi de modéliser le comportement de Yasmarang alimenté par la plage restreinte des horloges système situées entre mars 2021 et juillet 2026, combinée avec les registres connus d’identifiants de puces MicroPython.

La prévisibilité des données d’initialisation (identifiant puce, horloge)

En restreignant les paramètres de départ, le nombre total de seeds candidates est passé de dizaines de septillions à un échantillon tout à fait calculable. Pour chaque graine reconstruite localement, les scripts de l’attaquant ont dérivé les master private keys, puis les adresses publiques associées selon les standards BIP32, BIP44 et BIP84 (adresses Native SegWit commençant par bc1q).

Ce travail de calcul lourd s’est déroulé en toute discrétion pendant des semaines ou des mois sur des supercalculateurs loués à bas coût. Aucune alerte ne pouvait être déclenchée sur le réseau Bitcoin pendant cette phase de préparation, car le hacker ne faisait qu’effectuer des opérations mathématiques locales sans interagir avec la blockchain.

Le croisement des clés générées avec les adresses publiques de la blockchain

Comment les adresses Bitcoin ont-elles été reconstituées hors-ligne ? L’attaquant a téléchargé l’intégralité de l’état de la blockchain Bitcoin (l’ensemble des UTXO actifs). Il a ensuite croisé sa base de données d’adresses pré-calculées avec les adresses publiques contenant un solde positif dans la blockchain.

Dès qu’une correspondance apparaissait, le hacker obtenait immédiatement la clé privée permettant de dépenser les fonds associés. La chronologie exacte du 30 juillet 2026 révèle qu’une fois la base de correspondance constituée pour 1 196 adresses, l’attaquant a automatisé l’envoi simultané des ordres de transfert. Entre la diffusion de la première transaction malveillante à 14h02 et l’assèchement complet des portefeuilles cibles à 14h43, il s’est écoulé exactement 41 minutes. L’équipe d’urgence de Coinkite n’a pu publier le firmware correcteur que le 31 juillet 2026 à 09h15, soit près de 19 heures après la fin du pillage. Passons au concret en analysant le rôle controversé de l’IA et de la revue de code dans ce naufrage.

Revue de code et IA : les leçons et controverses autour de la réaction de Coinkite

Au-delà de la perte financière, cet incident a déclenché une vive polémique au sein de la communauté des développeurs open-source. Quelle a été la réponse du patron de Coinkite Rodolfo Novak ? Fidèle à son style direct, le fondateur de Coinkite a immédiatement réagi sur les réseaux sociaux pour annoncer la Coinkite mise à jour urgence du 31 juillet 2026, tout en apportant des explications sur la manière dont une telle coquille avait pu traverser les audits successifs sans être repérée.

Sans langue de bois, Rodolfo Novak a révélé que Coinkite utilisait des outils d’analyse statique assistés par intelligence artificielle pour passer au crible le code source de MicroPython et des bibliothèques associées. Cette déclaration a immédiatement soulevé la question de la responsabilité des outils automatiques dans la sécurité logicielle critique.

Les révélations sur la revue de code assistée par IA chez Coinkite

L’intelligence artificielle a-t-elle joué un rôle dans la découverte de la faille ? Les révélations internes indiquent que les modèles d’IA utilisés pour relire les pull requests s’intéressaient prioritairement à la syntaxe, aux débordements de mémoire tampon (buffer overflow) et aux erreurs de typage. L’IA a analysé la ligne #define MICROPY_HW_ENABLE_RNG (0) comme une option de compilation valide et voulue par l’architecte, sans chercher à vérifier si le reste de la chaîne de dépendances libngu interprétait cette valeur correctement.

Cette confiance aveugle envers les agents d’audit automatisés a créé un faux sentiment de sécurité chez les réviseurs humains. Pensant que les modèles de langage et les linter intelligents avaient validé la cohérence du code embarqué, les audits humains se sont concentrés sur la couche haute de l’interface utilisateur et la gestion des écrans OLED.

L’hypothèse d’un audit offensif automatisé par l’attaquant

En contrepartie, une hypothèse très probable émise par plusieurs experts en cybersécurité suggère que l’attaquant a lui aussi utilisé des modèles d’IA, mais dans un but offensif. Des scripts d’audit automatisés spécialisés dans la recherche de failles d’entropie ont pu scanner l’ensemble des dépôts GitHub open-source du secteur crypto à la recherche de drapeaux de configuration discordants.

Ce dilemme asymétrique illustre parfaitement le danger actuel : un auditeur défensif utilise l’IA pour vérifier la conformité globale, tandis qu’un pirate utilise l’IA pour repérer l’unique faille de logique résiduelle. Pour protéger vos actifs restants ou reconstruire votre infrastructure de stockage, voyons les actions concrètes à mener tout de suite.

Guide pratique : Comment vérifier et migrer vos fonds Coldcard en toute sécurité

Est-ce que la mise à jour du firmware Coldcard répare mes clés ? La réponse est un NON catégorique. La mise à jour du firmware corrigée publiée par Coinkite réactive le TRNG matériel pour la création de futures clés. En revanche, si votre clé privée a été générée sous un firmware défaillant, elle reste définitivement compromise mathématiquement. Appliquer le correctif ne rendra pas votre ancienne seed imprévisible.

Comment transférer mes Bitcoins vers une nouvelle seed Coldcard ? La seule procédure sécurisée consiste à effectuer une migration seed Coldcard sécurisée complète en déplaçant l’intégralité de vos Bitcoins vers un nouveau portefeuille sain. Voici la méthode étape par étape pour réaliser cette opération sans commettre d’erreur sur le terrain.

Étape 1 : Installer le firmware d’urgence du 31 juillet 2026

Insérez une carte MicroSD contenant le fichier officiel du firmware correctif dans votre appareil Coldcard. Accédez au menu de mise à jour du firmware et validez l’installation. Redémarrez l’appareil et vérifiez dans le menu de présentation que la version installée est bien postérieure au patch du 31 juillet 2026.

Cette étape est indispensable avant toute nouvelle création de seed. Si vous tentez de créer une seed sans appliquer le firmware correcteur, le bogue MICROPY_HW_ENABLE_RNG sera toujours présent et produira une clé tout aussi prévisible que la précédente.

Étape 2 : Générer une nouvelle seedphrase et transférer les fonds

Une fois le firmware mis à jour, réinitialisez les paramètres d’usine ou choisissez l’option de création de mots de passe de secours. Le système fait désormais appel aux enregistreurs TRNG physiques réparés. Pour une sécurité absolue, combinez cette étape avec un apport d’entropie manuel (lancer de dés).

Notez soigneusement les 24 nouveaux mots sur votre support physique (carte acier ou papier). Exportez le descripteur ou le fichier d’adresse publique vers votre logiciel de gestion (Sparrow Wallet, Electrum) et générez une adresse de réception. Connectez ensuite votre ancien portefeuille pour balancer l’intégralité des Bitcoins vers votre nouvelle adresse neuve.

Pourquoi les portefeuilles multisignatures sont préservés

Si vous utilisiez votre Coldcard dans le cadre d’un coffre-fort multisignature (par exemple un schéma 2-sur-3 combinant Coldcard, Ledger et Trezor), soyez rassuré : vos fonds n’ont pas été siphonné. Même si l’attaquant a reconstruit la clé privée issue de la Coldcard, il lui manquait les deux autres clés privées indépendantes pour constituer le quorum de dépense requis.

Cette immunité démontre la supériorité architecturale du multisig face aux erreurs matérielles individuelles. Examinons comment pousser cette logique de souveraineté pour immuniser vos avoirs contre les futures pannes de firmware.

Multisig et souveraineté numérique : Comment éviter les futurs pièges d’entropie

Pourquoi le multisig protège-t-il contre les failles d’entropie d’un hardware wallet ? En pratique, l’architecture multisig (multi-signature) divise la confiance entre plusieurs équipements physiques et logiciels distincts. En obligeant la validation de plusieurs clés parmi un ensemble défini, vous éliminez tout point unique de défaillance. Même si un constructeur introduit une erreur d’interprétation du zéro dans le firmware Coldcard ou si une puce mémoire souffre d’un défaut d’aléa, l’attaquant ne peut rien faire avec une seule clé devinée.

Quelles sont les meilleures pratiques pour sécuriser ses clés Bitcoin en 2026 ? Sur le terrain, la communauté crypto doit tirer des leçons durables de cet événement. La véritable souveraineté numérique exige de ne jamais accorder une confiance aveugle à un constructeur unique, quelle que soit son ancienneté ou son prestige technologique. La sécurité multisig Bitcoin Coldcard associée à l’entropie physique apporte une réponse définitive à ce défi.

L’importance de la redondance des générateurs d’entropie

En variant les constructeurs au sein d’un même quorum multisig (par exemple Coldcard, BitBox02 et Jade), vous cumulez des implémentations de code et des puces TRNG d’architectures totalement différentes. La probabilité que deux constructeurs indépendants commettent simultanément la même erreur de configuration de générateur d’aléatoire au même moment est virtuellement nulle.

Pour les TPE, PME et investisseurs gérant des trésoreries significatives, l’architecture multisig n’est plus une option avancée : c’est le standard de base exigé pour prévenir les risques opérationnels et matériels liés aux mises à jour logicielles embarquées.

Lancer des dés physiques (Dice Roll) pour garantir son entropie

La seconde protection fondamentale consiste à prendre le contrôle direct du processus de génération de l’aléa grâce à la méthode des lancés de dés (Dice Roll). La plupart des Coldcard (Mk3, Mk4, Mk5, Q) proposent cette option lors de la création d’une seed. En lançant 100 fois un dé physique à 6 faces et en saisissant les résultats dans l’appareil, vous fournissez 256 bits d’entropie manuelle et vérifiable.

Même si le firmware de l’appareil présentait le pire bogue d’initialisation dans son code source, l’aléa injecté par vos dés physiques vient surcharger le pool d’entropie interne. Le système est alors incapable d’imposer une graine prévisible, car le résultat final intègre mathématiquement la séquence de vos tirages manuels. Face à la vulnérabilité récurrente des générateurs logiciels embarqués, la véritable souveraineté financière ne repose-t-elle pas sur la combinaison du multisig et de l’entropie physique générée par l’utilisateur ?

Questions fréquentes

Est-ce que la mise à jour du firmware du 31 juillet 2026 protège mes fonds existants ?

Non. La mise à jour corrige uniquement le générateur d'aléatoire pour les futures seeds. Si votre seed a été créée entre mars 2021 et juillet 2026, elle reste définitivement compromise et vous devez transférer vos Bitcoins vers une nouvelle seed.

Quels modèles de Coldcard sont touchés par la faille de génération d'entropie ?

Tous les modèles utilisant le firmware 4.0.0 ou supérieur sorti depuis mars 2021 sont concernés, notamment les Coldcard Mk3, Mk4, Mk5 et le modèle Q.

Pourquoi les configurations multisignatures (multisig) sont-elles épargnées ?

En multisig, la création de l'adresse nécessite plusieurs clés indépendantes provenant d'appareils ou de constructeurs différents. Même si la clé Coldcard est devinable, l'attaquant ne peut pas reconstituer les autres clés du quorum.

Comment l'attaquant a-t-il pu dérober 70 millions de dollars en seulement 41 minutes ?

L'attaquant a calculé au préalable toutes les seeds possibles sur ses serveurs, généré les adresses associées et préparé les transactions. Une fois prêt, il les a diffusées simultanément sur le réseau Bitcoin.

Qu'est-ce que le générateur Yasmarang et pourquoi a-t-il failli ?

Yasmarang est un algorithme pseudo-aléatoire non cryptographique. En l'absence d'entropie physique renouvelée, ses tirages dépendent de variables prévisibles comme l'identifiant du composant et l'horloge système.

Comment s'assurer qu'une seed Bitcoin est créée avec une entropie 100 % sûre ?

Il est recommandé de générer l'entropie manuellement à l'aide de lancés de dés physiques (option Dice Roll sur Coldcard), ce me qui élimine toute dépendance matérielle ou logicielle vis-à-vis des puces du portefeuille.

Mathias Courtois

Ingénieur systèmes et architecte cloud pendant 8 ans chez un leader européen de l’hébergement, reconverti dans l’analyse tech et business. Passionné par l’intersection entre infrastructure IT, IA générative et transformation digitale des entreprises. J’aide les décideurs et les équipes techniques à naviguer dans l’écosystème tech sans bullshit marketing.