Les portefeuilles froids peuvent-ils être piratés ? Comment les propriétaires de Coldcard et Ledger ont perdu des cryptomonnaies sans intervention directe

La sécurité des portefeuilles matériels en question

Un portefeuille matériel, enfermé dans un coffre-fort bancaire et jamais connecté à Internet, devrait être l'un des endroits les plus sûrs pour protéger le Bitcoin. Pourtant, en juillet 2026, des attaquants ont réussi à voler des cryptomonnaies aux propriétaires de Coldcard sans toucher à leurs appareils, tandis qu'une autre opération a ciblé de véritables portefeuilles Ledger modifiés avant d'atteindre les clients. Ces incidents remettent en question l'une des hypothèses de sécurité les plus répandues dans le domaine des cryptomonnaies : garder les clés privées hors ligne est suffisant pour protéger les fonds.

Les vulnérabilités des portefeuilles froids

En réalité, les portefeuilles froids protègent les clés privées de nombreuses attaques en ligne, mais leur sécurité dépend toujours de la manière dont ces clés sont générées, de la fabrication des appareils et des actions des utilisateurs. Le 30 juillet, les attaquants ont commencé à siphonner du Bitcoin à partir d'adresses associées à des portefeuilles matériels Coldcard, exploitant une vulnérabilité introduite des années auparavant. Selon une enquête de Galaxy Research, une erreur de firmware datant de mars 2021 a conduit les appareils affectés à générer des phrases de récupération avec une randomisation insuffisante.

Au lieu de s'appuyer correctement sur l'entropie matérielle dédiée, le logiciel utilisait des informations prévisibles sur l'appareil et le timing. Les attaquants pouvaient ainsi recréer des phrases de récupération possibles sur leurs propres ordinateurs, dériver les adresses Bitcoin correspondantes et identifier les portefeuilles vulnérables grâce aux enregistrements de la blockchain publique.

D'ici le 4 août, les enquêteurs avaient lié plus de 100 millions de dollars de pertes à cette vulnérabilité, avec des estimations atteignant environ 130 millions de dollars lorsque des attaques supplémentaires suspectées étaient incluses. Une victime a signalé avoir perdu 18,25 BTC en seulement sept minutes, malgré le fait de garder son appareil dans un coffre-fort bancaire. L'enquête sur Coldcard a révélé que l'isolement physique n'offrait aucune protection une fois que la graine elle-même devenait prévisible.

Les menaces sur les portefeuilles Ledger

En octobre 2026, Ledger a révélé une autre menace impliquant de véritables portefeuilles matériels qui avaient été physiquement modifiés avant leur revente. Selon la réponse officielle de Ledger à cet incident, des criminels ont acheté des appareils authentiques, installé des composants dissimulés conçus pour capturer les phrases de récupération lors de la configuration, puis les ont retournés aux canaux de distribution en Asie du Sud-Est.

Une fois activés, ces appareils compromis pouvaient exposer des informations de récupération aux attaquants. Ledger a précisé que ses puces sécurisées, son système d'exploitation et ses serveurs n'avaient pas été compromis. L'attaque a ciblé le processus de distribution plutôt que d'exploiter une vulnérabilité logicielle universelle.

Coinpaper a précédemment couvert la suspension des ventes régionales, qui a suivi des estimations selon lesquelles plus de 86 millions de dollars en cryptomonnaies auraient pu être volés.

Ledger avait également connu un incident distinct avec le Connect Kit en décembre 2023, lorsque des logiciels malveillants ont trompé les utilisateurs d'applications décentralisées connectées pour qu'ils signent des transactions. Cet incident antérieur n'a pas compromis le matériel Ledger lui-même.

Leçons à tirer

La leçon centrale est que le stockage hors ligne protège contre certaines menaces, mais pas contre toutes les méthodes de vol de clés privées. Coldcard a publié un firmware corrigé, mais ses conseils de sécurité soulignent que la mise à jour d'un appareil ne peut pas réparer une phrase de récupération créée avec un logiciel vulnérable. Les propriétaires affectés doivent générer de nouvelles informations de récupération dans des conditions sécurisées et transférer leurs fonds vers de nouvelles adresses.

L'incident de Ledger renforce l'importance d'acheter du matériel directement auprès des fabricants ou de distributeurs de confiance et de vérifier tout comportement de configuration inhabituel. Les utilisateurs devraient également vérifier les détails des transactions sur l'écran matériel et ne jamais divulguer leurs phrases de récupération, y compris en réponse à de fausses notifications de sécurité ou messages de support.