38 millions de dollars volés après une vulnérabilité critique dans des portefeuilles Bitcoin. Êtes-vous concerné ?

Une faille d’entropie aurait rendu certaines clés Bitcoin prévisibles

La sécurité d’un portefeuille Bitcoin repose sur une promesse simple, mais rude pour beaucoup d'utilisateurs débutants. Si la clé privée du wallet est réellement aléatoire, elle est réalistiquement impossible à deviner. Or, si cette génération aléatoire est mauvaise, toute la sécurité du wallet peut tomber avant même la 1ère transaction.

Selon les publications techniques de Coinkite, certaines versions du firmware de ses appareils auraient généré des seeds avec une entropie beaucoup plus faible que prévu, rendant possible une recherche par force brute, permettant à un hacker de « deviner » des clés privées potentiellement utilisées.

💡 Découvrez notre Top 10 des wallets pour sécuriser vos Bitcoins en 2026

Coinkite vient donc de révéler que les seeds générées sur les COLDCARD Mk3 depuis le firmware 4.0.1, publié en mars 2021, sont à risque.

Extrait du communiqué de Coinkite

Coinkite indique que les clés privées des Mk3 pourraient ne disposer que d’environ 40 bits d’entropie, très loin du niveau attendu pour sécuriser des fonds en Bitcoin.

D’après les es relayées par plusieurs acteurs de l’écosystème, près de 600 BTC auraient déjà été volés, soit environ 38 millions de dollars au cours actuel.

Le problème ne se limite pas totalement au Mk3, Coinkite indique aussi que les seeds générées sur Mk4, Mk5 et Q avant les firmwares corrigés pourraient être affectées, avec environ 72 bits d’entropie au lieu des 128 bits attendus.

Le risque de vols sur ces autres appareils n'est donc pas immédiat, mais il est préférable de s'en protéger et de migrer ces fonds vers un autre portefeuille en attendant de pouvoir générer une clé sécurisée sur les appareils de la marque.

Découvrir les portefeuilles Trezor pour sécuriser vos cryptos

Êtes-vous concerné par cette vulnérabilité ?

Les utilisateurs les plus exposés sont ceux qui ont généré leur seed directement depuis une COLDCARD Mk3 avec le firmware 4.0.1 ou une version ultérieure. Dans ce cas, il est urgent de migrer les fonds vers une nouvelle seed générée à partir d’un appareil non affecté.

Les utilisateurs de Mk4, Mk5 et Q doivent également vérifier leur firmware. Coinkite indique que le bug est corrigé dans les versions 5.6.0 pour Mk4/Mk5 et 1.5.0Q pour Q, mais seulement pour les nouvelles seeds générées après la mise à jour. Une seed déjà créée avec un firmware vulnérable reste vulnérable.

📰 À lire également dans l'actualité – Croissance, inflation, emploi aux US : quel impact sur Bitcoin ?

Un dispositif multisig utilisant une clé générée par les versions vulnérables des appareils de Coinkite n'est pas non plus complètement protégé. Si une ou plusieurs clés du multisig sont compromises, c'est la sécurité du portefeuille entier qui est affaiblie.

Pour le moment, le bug est documenté chez COLDCARD, mais le problème de fond, lui, concerne tous les wallets Bitcoin. Si l’entropie utilisée pour générer une clé est mauvaise, toute la sécurité qui suit repose sur une faiblesse initiale.

Au risque de faire une erreur humaine, certains génèrent même leur clé privée à la main, en utilisant un jeu de plusieurs dés. Fait correctement, cette méthode ne vous rend pas vulnérable à la faille des appareils de Coinkite.

Source : Coinkite