Une faille de sécurité dans les portefeuilles Coldcard
Une faille de sécurité vieille de cinq ans dans les portefeuilles matériels Coldcard a conduit le fabricant Coinkite à faire face à un procès, après que des attaquants auraient siphonné plus de 140 millions de dollars en Bitcoin. L’action collective proposée affirme que ces dispositifs ont généré des phrases de récupération prévisibles, laissant ainsi les clients vulnérables au vol.
Détails du procès
Une action en justice collective a été déposée le 11 septembre 2026 devant la Cour supérieure de justice de l’Ontario, nommant Coinkite Inc., basée à Toronto, ainsi que les cofondateurs Rodolfo Novak et Peter D. Gray comme défendeurs. Le plaignant, Amir Reza Naderi, résident de Los Angeles, allègue qu’une mise à jour de firmware défectueuse publiée en mars 2021 a compromis la sécurité des portefeuilles Coldcard pendant plus de cinq ans.
Le procès indique que les dispositifs contenaient une vulnérabilité qui « soulignait l’ensemble du but et de la fonction de l’appareil ».
Fonctionnalité des portefeuilles Coldcard
Les portefeuilles Coldcard sont conçus pour protéger le Bitcoin en générant des phrases de récupération secrètes, communément appelées phrases de graine. Ces mots permettent aux propriétaires de récupérer leurs fonds en cas de perte ou de dommage de leurs dispositifs. Cependant, la plainte allègue que le logiciel a généré des phrases prévisibles au lieu de véritables phrases aléatoires, permettant aux attaquants de recréer des clés privées sans posséder physiquement les portefeuilles.
Exploitation de la vulnérabilité
Le problème allégué provenait d’une « erreur d’intégration de construction et de liaison » qui a conduit les dispositifs affectés à utiliser le générateur de logiciels Yasmarang de Micropython, au lieu du générateur de nombres aléatoires basé sur le matériel prévu. En termes simples, les dispositifs auraient créé des codes de sécurité beaucoup plus faciles à deviner que ce que les clients avaient été promis.
Les attaquants ont commencé à exploiter cette faiblesse le 30 juillet 2026, volant prétendument environ 594 BTC, d’une valeur de 38 millions de dollars, en seulement 25 minutes. Les vols ultérieurs ont porté les pertes estimées par le procès à plus de 140 millions de dollars. Naderi affirme avoir personnellement perdu 1,22940052 BTC, d’une valeur d’environ 79 764 dollars, à travers des transferts non autorisés le 6 août.
Réactions et conséquences
La plainte allègue également que l’ingénieur Bitcoin James O’Beirne a averti Coinkite de la vulnérabilité en mai 2025, plus d’un an avant le début des vols. Le fabricant de portefeuilles crypto Coinkite a publiquement divulgué la vulnérabilité le 30 juillet et a publié un firmware correctif le lendemain. Cependant, l’installation d’un logiciel mis à jour à elle seule ne pouvait pas protéger les phrases de récupération générées précédemment. Les clients devaient également en créer de nouvelles et transférer leur Bitcoin.
Le procès soutient que Coinkite n’a pas réussi à notifier directement les clients affectés, malgré la possession de leurs coordonnées. Il remet également en question les limitations de responsabilité contractuelles de l’entreprise, alléguant que les lois sur la protection des consommateurs prévalent sur les dispositions restreignant les poursuites et les compensations. La classe proposée couvre les acheteurs à usage personnel des dispositifs Coldcard Mk2, Mk3, Mk4, Mk5 et Q. Les plaignants demandent des dommages-intérêts compensatoires, des dommages-intérêts punitifs et d’autres réparations.
Conclusion
L’affaire reste une action collective proposée, et ses allégations n’ont pas encore été établies devant le tribunal. Aucun dommage n’a été accordé. Pour les clients affectés, la question centrale est de savoir si une entreprise vendant une protection contre le vol de Bitcoin peut être tenue financièrement responsable lorsque son propre logiciel de sécurité ouvre prétendument la porte aux attaques.
Bitcoin.com News a contacté Coinkite pour obtenir un commentaire concernant le procès et ses allégations. L’entreprise n’avait pas répondu au moment de la publication, mais toute déclaration reçue par la suite sera ajoutée à ce rapport. Coinkite, l’entreprise derrière Coldcard, le portefeuille matériel affecté par une vulnérabilité dans son code de génération de graine, pourrait faire face à des poursuites.
