Coldcard : un bogue informatique coûte 100 M$ en bitcoins à des clients de Coinkite
L’affaire des portefeuilles Coldcard, présentés comme des dispositifs ultra-sécurisés pour stocker des bitcoins hors ligne, révèle une faille logicielle aux conséquences financières dramatiques. Avec plus de 100 millions de dollars siphonnés et près de 5 000 appareils compromis, cette cyberattaque interroge la fiabilité des solutions de stockage cold wallet et la responsabilité des acteurs du secteur face à des clients ayant parfois épargné pendant des années. L’incapacité à garantir une indemnisation substantielle aux victimes soulève des questions sur les garde-fous juridiques et financiers d’un écosystème crypto encore en quête de maturité réglementaire.
Comment une faille dans un générateur de nombres aléatoires a-t-elle pu compromettre des portefeuilles Coldcard ?
Le bogue, intégré dans le micrologiciel depuis 2021, concernait les modèles Mk2, Mk3, Mk4, Mk5 et Q. Lors de l’initialisation, l’appareil devait générer une phrase de récupération de 24 mots servant de clé principale. Au lieu d’utiliser un hasard mathématique, le système s’appuyait sur des données prévisibles comme le numéro de série, rendant les clés faciles à deviner et à exploiter par des pirates.
Quels sont les obstacles majeurs pour les victimes souhaitant obtenir réparation auprès de Coinkite ?
Coinkite a tenté de limiter sa responsabilité via des clauses contractuelles, notamment en excluant les résidents du Québec et en imposant des recours en Ontario. Mais même en cas de jugement favorable, l’entreprise, avec seulement cinq employés et un actif de 100 000 $, serait probablement insolvable. Les victimes pourraient donc se retrouver avec un simple jugement sans compensation financière, comme dans l’affaire QuadrigaCX.
Pourquoi les autorités fiscales canadiennes pourraient-elles jouer un rôle clé dans cette crise ?
L’Agence du revenu du Canada et Revenu Québec considèrent ce vol comme une vente à 0 $, permettant aux victimes de déclarer une perte en capital déductible d’impôt. Cette approche offre un soulagement partiel, mais la récupération des fonds dépendra de la capacité à tracer les bitcoins sur la blockchain, alors que 90 % des sommes volées n’ont pas encore été déplacées.
Quel est l’impact de cette faille sur la confiance dans les solutions de stockage cold wallet ?
Au-delà du préjudice financier, cet incident ébranle la crédibilité des dispositifs présentés comme infaillibles. Les utilisateurs pourraient se tourner vers des alternatives hybrides ou des solutions centralisées, malgré les risques associés. Pour les entreprises du secteur, l’enjeu est désormais de prouver que des audits indépendants et des mécanismes de responsabilité financière peuvent être mis en place pour restaurer la confiance.
Ce que ça pourrait changer
Cette affaire pourrait accélérer les exigences en matière de transparence et de responsabilité pour les fabricants de portefeuilles matériels, avec un possible durcissement des normes de sécurité ou l’émergence de certifications tierces. Pour les régulateurs, elle souligne l’urgence d’encadrer les clauses contractuelles abusives et les mécanismes d’indemnisation dans un secteur où les pertes financières peuvent être colossales. Enfin, elle rappelle que même les solutions hors ligne ne sont pas à l’abri de vulnérabilités logicielles, nécessitant une vigilance constante des utilisateurs.
