Bitcoin : « Les clés privées sont le péché originel de la crypto »
Le premier qui, ayant enclos un terrain, s’avisa de dire : Ceci est à moi, et trouva des gens assez simples pour le croire, fut le vrai fondateur de la société civile. Posséder ses clés, c’est posséder ses bitcoins. La formule tourne en boucle dans l’écosystème depuis des années, brandie comme argument ultime contre les exchanges centralisés. Sauf que cette semaine, c’est justement cette promesse qui a explosé en plein vol.
L’exploit qui a vidé des milliers d’adresses Coldcard a rappelé à quel point une clé privée reste, malgré tous les portefeuilles matériels du monde, un point de défaillance unique. Pour Ido Ben-Natan, patron de la société de sécurité Blockaid, ce n’est pas un accident de parcours : c’est le péché originel de toute la crypto.
- Un exploit a vidé des milliers d’adresses Coldcard, révélant une faille dans la génération des phrases de récupération, provoquant des pertes estimées à plus de 130 millions de dollars.
- Près de 75 % des pertes crypto de 2026 ont été causées par des compromissions de clés privées, soulignant le danger d’un point de défaillance unique.
Coldcard : la mécanique précise d’une faille qui vide les portefeuilles hors ligne
Le Coldcard est conçu pour une seule mission, garder les clés privées hors de portée d’Internet. Les versions touchées, tournant sous des firmwares allant de 4.0.1 à 5.0.3, ont pourtant laissé passer une faille. Elle ne se logeait pas dans la connexion, mais dans la génération elle-même des phrases de récupération (seed phrase en anglais).
Au lieu de s’appuyer exclusivement sur le générateur de nombres aléatoires matériel de l’appareil, une partie des dispositifs concernés basculait vers Yasmarang, un générateur logiciel déterministe issu de MicroPython, nettement moins imprévisible. Un simple détail a suffi à tout faire basculer.
Des attaquants ont ainsi pu reconstituer des seeds entières, et donc les clés privées qu’elles protègent, sans avoir jamais touché physiquement à un seul appareil.
Galaxy Research évaluait vendredi les pertes confirmées à au moins 111 millions de dollars, avec une projection à plus de 130 millions de dollars une fois l’ensemble des transactions analysées. K33 recense pour sa part plus de 7 000 adresses ciblées, et Galaxy évoque « plusieurs acteurs malveillants distincts » exploitant activement la faille en parallèle.
Un chiffre qui n’a cessé de grimper depuis les premières estimations : la firme Coinkite avait d’abord évoqué 594 BTC détournés en 25 minutes, avant que le bilan ne double en quatre jours.
Blockaid : les clés privées derrière trois quarts des pertes crypto de 2026
C’est dans ce contexte qu’Ido Ben-Natan a détaillé sa lecture de l’incident auprès de The Block, vendredi. Son argument tient en une phrase. Faire reposer l’accès à un actif sur un secret unique, hérité historiquement du mot de passe puis de la clé privée, crée mécaniquement un point de défaillance unique.
« Il y a une beauté dans le fait que personne d’autre ne puisse accéder à ces actifs. La difficulté, c’est que cela reste un point de défaillance unique. »
Blockaid, qui fournit des services de surveillance en temps réel à des portefeuilles et des exchanges tels que MetaMask, Coinbase Wallet, Uniswap ou encore Stellar, a chiffré l’ampleur du phénomène dans son rapport du premier semestre : près de 75 % des fonds perdus lors d’exploits crypto entre janvier et juin 2026 proviennent de compromissions de clés privées. Un semestre déjà qualifié de plus attaqué de l’histoire, avec plus d’un milliard de dollars envolés. Le chiffre parle de lui-même.
Ben-Natan va plus loin en pointant l‘intelligence artificielle comme accélérateur du phénomène.
« Très bientôt, chacun sur cette planète aura accès à l’un des meilleurs hackers du monde, au bout des doigts »
Sa recommandation tranche avec le discours habituel du secteur :
« Laisser ses actifs quelque part et les oublier n’est pas vraiment la solution, parce que le rythme de la sécurité évolue constamment. Il faut soit rester paranoïaque en permanence, soit déléguer cette prise de décision à quelqu’un d’autre. »
Hardware wallet Bitcoin : solution ultime ou simple maillon fragile ?
L’affaire relance un débat que l’écosystème préfère habituellement éviter. Le portefeuille matériel a longtemps été vendu comme la réponse définitive au risque de piratage, la barrière physique qui met les clés hors de portée de tout attaquant distant. L’épisode Coldcard montre que cette barrière ne vaut que ce que vaut le code qui génère la clé en amont, un maillon logiciel aussi faillible que n’importe quel autre.
Les détenteurs ayant protégé leur seed d’une phrase supplémentaire (passphrase BIP-39, un secret que l’utilisateur ajoute lui-même et qui n’est jamais stocké sur l’appareil) sont restés largement épargnés. Un détail qui déplace la question, de la confiance aveugle envers le matériel vers une hygiène de sécurité plus active de l’utilisateur lui-même.
L’incident tombe d’ailleurs en pleine semaine noire pour la sécurité de l’écosystème Bitcoin, entre alertes sur des serveurs de paiement et débats de gouvernance sur le réseau, deux dossiers bien distincts qui posent pourtant la même question de fond.
La vraie ligne de fracture ne passe plus entre garde propre et hardware wallet, mais entre une vigilance active et permanente, et la délégation assumée de cette responsabilité à un tiers de confiance.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.
