Faille de sécurité COLDCARD des milliers de BTC siphonnés
Coldcard : faille massive
Une faille critique a été découverte dans le firmware de Coldcard, un portefeuille physique de crypto-monnaies. Depuis le 31 juillet 2026, plus de 1 300 BTC ont été siphonnés, affectant les modèles MK3, MK4, MK5 et Q.
RNG et entropie
Principe du RNG
Les portefeuilles utilisent un générateur de nombres aléatoires (RNG) pour créer des phrases secrètes. Un RNG matériel (TRNG) exploite des phénomènes physiques, tandis qu’un RNG pseudo (PRNG) est algorithmique et dépend d’un état initial.
Problème identifié
Le firmware de Coldcard générait des nombres pseudo‑aléatoires depuis 2021, réduisant l’entropie de 128 bits à 72 bits. Cette faiblesse rend la phrase secrète vulnérable à une attaque par force brute.
Impact immédiat
Les utilisateurs disposant de Coldcard doivent transférer immédiatement leurs fonds vers un autre portefeuille. La société a annoncé qu’elle ne remboursera pas les pertes, prévoyant une faillite imminente.
Autres wallets touchés
Ledger, Tangem et Keystone ont également connu des failles d’entropie, bien que les détails varient. Les incidents montrent que la sécurité des cold wallets n’est pas garantie, même pour les modèles les plus récents.
Historique des failles d'entropie
| Année | Produit | Type de faille | Entropie |
|---|---|---|---|
| 2013 | Android | Initialisation PRNG | Non précisé |
| 2017 | Infineon (ROCA) | Clés privées structurées | Non précisé |
| 2019 | Liberty Coin Explorer | PRNG 32 bits | 32 bits |
| 2023 | TrustWallet | Initialisation TRNG | Non précisé |
| 2026 | Coldcard | Firmware bug | 72 bits |
Mesures de prévention
- Utiliser un portefeuille multi‑signature pour répartir la phrase secrète.
- Choisir des modèles avec TRNG indépendant du fabricant.
- Auditer le code source et les mises à jour firmware.
- Éviter les modes sans écran sur les cartes à puce.
- Considérer des solutions d’investissement alternatives, comme les ETF Bitcoin.
Réflexion sur la confiance
La confiance dans les systèmes de génération de nombres aléatoires est fragile. Sans contrôle direct de l’entropie, les utilisateurs doivent compter sur la transparence du code et sur des audits indépendants. La sécurité des crypto‑actifs dépend désormais autant de la rigueur mathématique que de la vigilance des utilisateurs.
Note de l'IA : Ce texte est généré automatiquement par une intelligence artificielle et s'inspire de l'épisode audio.