Coldcard : un bogue informatique coûte 100 M$ en bitcoins à des clients de Coinkite

En 2026, une faille logicielle majeure a été découverte dans les portefeuilles Coldcard de la société canadienne Coinkite.

Cette faille a permis à des pirates d’accéder aux fonds de près de 5000 utilisateurs, représentant un total de 1755 bitcoins, soit l’équivalent de 100 millions de dollars américains.

Les appareils concernés sont les modèles Mk2, Mk3, Mk4, Mk5 et Q, fabriqués à partir de 2021.

Ces portefeuilles, conçus pour stocker des bitcoins hors ligne, sont considérés comme ultra-sécurisés car ils gardent les codes secrets (clés privées) à l’abri d’Internet.

La faille provenait d’une erreur dans le générateur de nombres aléatoires (RNG), qui a rendu les mots de passe maîtres (phrases de récupération de 24 mots) prévisibles au lieu d’être générés de manière aléatoire et sécurisée.

Une Coldcard est un boîtier physique conçu pour stocker des bitcoins hors ligne, c’est-à-dire sans connexion à Internet.

Cela permet de protéger les fonds contre les piratages en ligne.

Lorsqu’un utilisateur initialise une Coldcard, l’appareil génère une phrase de récupération composée de 24 mots.

Cette phrase agit comme un mot de passe maître et une clé absolue pour accéder aux bitcoins.

Sans cette phrase, il est impossible de récupérer les fonds.

La société Coinkite, basée à Toronto, a lancé la Coldcard en 2017 pour offrir une solution de stockage sécurisée.

Cependant, en raison de la faille, les phrases de récupération de certains appareils étaient prévisibles, car elles étaient basées sur des données comme le numéro de série de l’appareil, au lieu d’être générées aléatoirement.

Dès le 1er août 2026, Coinkite a reconnu la faille et publié un correctif logiciel pour les appareils concernés.

L’entreprise a également détruit les stocks restants des modèles vulnérables.

Cependant, ce correctif ne permet pas de récupérer les fonds déjà volés.

Les utilisateurs doivent générer une nouvelle phrase de récupération et transférer manuellement leurs bitcoins vers un nouveau portefeuille sécurisé.

Coinkite a demandé aux victimes de conserver leurs appareils compromis, car ils pourraient être utiles aux autorités pour enquêter sur le vol.

L’entreprise a précisé que pour beaucoup des personnes touchées, il s’agissait d’économies accumulées sur plusieurs années.

La police de Toronto a ouvert une enquête via son Unité des crimes financiers pour faire la lumière sur ce vol.

Sur les réseaux sociaux, la colère des victimes a conduit à l’idée d’un recours collectif.

Cependant, selon Al Vigier, PDG de la société Caseway, les chances de récupérer les fonds par cette voie sont minces.

Les entreprises comme Coinkite incluent souvent des clauses d’exclusion de responsabilité dans leurs conditions d’utilisation, mais un juge peut les juger abusives et autoriser un recours collectif.

Coinkite a d’ailleurs spécifiquement indiqué dans ses conditions qu’elle ne vend pas ses produits aux résidents du Québec, limitant les recours dans cette province.

Malgré cela, un juge pourrait passer outre ces clauses.

Le principal obstacle pour les victimes est la solvabilité de Coinkite.

Selon Al Vigier, l’entreprise ne compterait que cinq employés et posséderait un actif total d’environ 100 000 dollars.

Même si les victimes obtiennent gain de cause en justice, un jugement en leur faveur n’aurait aucune valeur financière si l’entreprise est insolvable.

Sans assurance de responsabilité couvrant les dommages, les victimes risquent de ne récupérer qu’un jugement sans compensation réelle.

Les start-ups comme Coinkite évitent généralement de souscrire à ce type d’assurance en raison de son coût.

Al Vigier cite l’exemple de la plateforme QuadrigaCX, où les victimes n’ont récupéré que 13 cents par dollar perdu lors de sa faillite.

Al Vigier estime que la meilleure solution pour les victimes est de collaborer avec Coinkite pour suivre les fonds volés sur la chaîne de blocs (le registre public des transactions en bitcoins).

Environ 90 % des fonds volés n’ont pas encore été déplacés, ce qui offre une lueur d’espoir pour les récupérer.

Par ailleurs, Annie Lecompte, professeure à l’UQAM, explique que l’Agence du revenu du Canada et Revenu Québec considèrent ce vol comme une vente à 0 dollar, permettant aux victimes de déclarer une perte en capital déductible d’impôt.

Cette perte est calculée sur le coût d’acquisition initial des bitcoins, et non sur leur valeur au moment du vol.

Les victimes devront fournir des preuves, comme les détails de leur appareil, pour faire accepter leur réclamation.