Des pirates volent 130 M$ aux portefeuilles Coldcard via une faille

Des pirates ont volé plus de 130 millions de dollars en bitcoins en exploitant une vulnérabilité dans le portefeuille matériel Coldcard, selon des sociétés de sécurité blockchain.

Au 4 août 2026, au moins une douzaine d'attaquants répartis en plusieurs groupes ciblaient les utilisateurs de Coldcard, a déclaré Galaxy Research. Tom Robinson, de la société de surveillance crypto Elliptic, a confirmé cette estimation.

Ce vol s'inscrit dans une recrudescence : TRM Labs a signalé plus de 200 piratages d'entreprises de cryptomonnaies en 2026, entraînant des pertes supérieures à 950 millions de dollars.

Coldcard est conçu comme un portefeuille « froid » hors ligne qui conserve les phrases de récupération — les mots de passe des cryptomonnaies — déconnectées d'Internet, contrairement aux portefeuilles « chauds » sur des plateformes comme Binance ou Coinbase.

Des chercheurs en sécurité de Block ont découvert qu'un bug dans le logiciel du portefeuille rendait la génération de ces phrases de récupération prévisible. Les pirates ont alors forcé les clés des victimes à grande échelle, sans jamais avoir besoin d'un accès physique aux appareils.

Jonathan Goodman, qui affirme avoir perdu 1,6 million de dollars, a écrit sur X qu'il conservait sa phrase de récupération dans plusieurs coffres-forts et coffres de banque, et n'avait jamais exposé l'appareil en ligne. Il a imputé la faute à une seule ligne de code vulnérable datant de 2021.

Dans un avis daté du 30 juillet 2026 et mis à jour le 1er août, Coinkite a exhorté les utilisateurs à générer une nouvelle phrase de récupération après avoir mis à jour leurs appareils. L'entreprise n'a pas immédiatement répondu à une demande de commentaire.