Coldcard : une faille de PRNG aurait entraîné la perte de 86 M$ en bitcoin sur cinq ans

Une vulnérabilité du générateur de nombres pseudo-aléatoires (PRNG) présente dans le micrologiciel des portefeuilles matériels Coldcard depuis mars 2021 a conduit à une perte confirmée de 1 367 BTC, soit environ 86 M$, répartis sur 4 585 adresses. C'est ce qu'indique une cartographie on-chain publiée par Galaxy Research au 2 août 2026. Selon Galaxy, il s'agit du pire piratage de portefeuille matériel Bitcoin jamais observé en pertes confirmées, sans hameçonnage, sans accès physique à l'appareil et sans erreur de l'utilisateur. Galaxy affirme avoir identifié une troisième vague de siphonnage d'adresses "générées par Coldcard", avec 207,7294 BTC drainés. Son estimation actualisée porte la taille observée de l'attaque à 1 367,05 BTC (environ 88,6 M$) sur 4 585 adresses. Le contexte de marché restait nerveux : au moment des faits, le BTC/USD cédait 1,4% sur la séance à 62 250 $, après une semaine volatile marquée par un repli depuis plus de 65 000 $. Le volume sur 24 heures s'établissait à 16,9 Md$, contre plus de 20 Md$ la veille (source : TradingView). Mécanisme de l'attaque : un macro mal paramétré, cinq ans de génération de seeds fragilisée D'après l'analyse, la cause racine se situe dans la bibliothèque libngu utilisée par Coldcard. Coinkite a configuré un paramètre à zéro pour désactiver le RNG de MicroPython, avec l'intention de s'appuyer sur le générateur matériel de nombres aléatoires (TRNG). Problème : le garde-fou de libngu ne vérifiait que si le macro était défini, ce qui a laissé passer la valeur zéro. Résultat, la compilation de MicroPython a écarté l'appel au RNG matériel STM32 et s'est rabattue sur Yasmarang, un PRNG logiciel n'offrant qu'environ 40 bits d'entropie effective, loin des 128 bits attendus pour une phrase mnémonique BIP39. Sur des modèles plus récents (Mk4, Mk5, Q), l'entropie effective aurait été améliorée vers ~72 bits, mais cela reste inférieur à l'idéal. L'écart entre 40 bits et 128 bits réduit fortement le coût d'attaque, rendant les seeds faibles plus faciles à cibler. Chronologie : le 30 juillet 2026, Coinkite a publié un avis de sécurité quelques heures avant une attaque ayant vidé environ 594 BTC provenant de 500 adresses. Deux vagues supplémentaires ont ensuite été suivies, portant le total à 1 367,05 BTC sur 4 585 adresses au 2 août. La majorité des bitcoins dérobés n'a pas encore été dépensée, ce qui suggère que l'attaquant attend avant de déplacer les fonds. Un rappel sur la sécurité "self-custody" : l'entropie comme maillon faible récurrent Galaxy présente l'affaire comme une démonstration structurelle : la promesse de sécurité de toute solution d'auto-conservation, matérielle ou logicielle, dépend entièrement de la qualité d'entropie lors de la génération de la seed. Un simple macro de préprocesseur mal configuré peut faire s'effondrer cette garantie pendant des années, sans signal d'alerte visible. L'épisode s'inscrit dans une série de défaillances historiques liées à l'aléa : en 2013, la faille Android SecureRandom avait entraîné la réutilisation de nonces dans des signatures ECDSA, exposant des clés sur plusieurs portefeuilles Bitcoin ; en 2022, le générateur d'adresses vanity Profanity utilisé lors du hack de Wintermute s'appuyait sur 32 bits d'entropie, ce qui a permis un vol de 160 M$ ; en 2023, la divulgation "Milk Sad" a montré que la seed bx de Libbitcoin Explorer utilisait un Mersenne Twister initialisé par l'heure système, réduisant une entropie attendue de 256 bits à environ 32, et exposant plus de 120 000 portefeuilles. Des bases de code différentes, des chaînes différentes, une même faiblesse : une source de hasard supposée robuste ne l'était pas. Ari Redbord, responsable mondial des politiques publiques chez TRM Labs, estime que l'affaire illustre le fait que le self-custody déplace le risque plutôt qu'il ne l'élimine. Cette lecture s'accorde avec les données H1 2026 de TRM Labs : les compromissions d'infrastructure et de clés ne représenteraient que 15% des incidents, mais concentreraient 76% des pertes totales en dollars sur un record de 207 événements de piratage. Galaxy indique avoir signalé environ 600 adresses suspectées d'être contrôlées par l'attaquant à des enquêteurs fédéraux, à des fournisseurs de conformité et à des sociétés de cybersécurité, tout en précisant que l'attribution à Coldcard repose sur des heuristiques on-chain plutôt que sur une reconstruction calculatoire, adresse par adresse, des seeds.