Hack Coldcard : comment les enquêteurs tracent les Bitcoin volés

Un portefeuille hardware réputé inviolable, des victimes qui signalent des pertes, et des enquêteurs qui peinent encore à chiffrer l’étendue des dégâts. Le hack Coldcard soulève des questions fondamentales sur la sécurité des cold wallets.

Aucun montant définitif n’a encore été établi. Les estimations varient selon les sources, entre les déclarations des victimes et les résultats de l’analyse on-chain — deux méthodes qui ne convergent pas toujours.

Derrière cette affaire se cache une réalité souvent méconnue : tracer des Bitcoin volés est une science à part entière, aussi rigoureuse que complexe.

Un bilan encore flou : pourquoi les pertes restent difficiles à quantifier

Contrairement aux hacks de protocoles DeFi où les smart contracts enregistrent tout de manière transparente, le vol de Bitcoin via un hardware wallet laisse des traces plus fragmentées. Les enquêteurs s’appuient principalement sur deux sources d’information : les signalements volontaires des victimes et l’analyse indépendante de la blockchain.

Le problème ? Ces deux approches produisent des résultats divergents. Certaines victimes ne signalent jamais leur perte — par honte, par méconnaissance des recours disponibles, ou parce qu’elles ignorent encore qu’elles ont été compromises. D’autres, au contraire, surestiment leurs pertes ou confondent plusieurs incidents distincts. Cette asymétrie d’information rend toute estimation globale particulièrement hasardeuse.

Du côté de l’analyse on-chain, les investigateurs scrutent les adresses Bitcoin associées aux wallets Coldcard signalés comme compromis. Ils cherchent des patterns de mouvement de fonds — transferts rapides vers des mixers, consolidation d’UTXOs suspects, ou acheminement vers des exchanges connus pour leur faible niveau de KYC. Sans liste exhaustive d’adresses victimes, le périmètre exact du hack reste une approximation.

L’analyse on-chain : la science qui traque les fonds volés

L’analyse on-chain est aujourd’hui l’outil central de toute enquête sur un vol de cryptomonnaies. Des firmes spécialisées comme Chainalysis, Elliptic ou CipherTrace disposent de bases de données massives permettant de clusteriser les adresses Bitcoin — c’est-à-dire de regrouper des adresses appartenant vraisemblablement à une même entité, en se basant sur des heuristiques de dépense commune (common input ownership).

Concrètement, lorsqu’un attaquant déplace des fonds volés, il laisse des empreintes numériques. Chaque transaction Bitcoin est publique et immuable sur la blockchain. Les enquêteurs peuvent ainsi reconstituer le chemin emprunté par les fonds : du wallet compromis jusqu’aux tentatives de liquidation sur un exchange centralisé, en passant par d’éventuels passages par des services de mixing comme Wasabi Wallet ou des protocoles CoinJoin.

La difficulté majeure réside dans les techniques d’obfuscation utilisées par les attaquants. Le recours aux mixers, aux chain hops (conversion vers d’autres cryptos puis retour au BTC) ou aux wallets intermédiaires multiples complique considérablement le travail de traçage. Malgré tout, les taux de résolution progressent : selon Chainalysis, une part croissante des fonds volés finit par être identifiée, même des mois après les faits.

Coldcard en question : ce que cet incident révèle sur la sécurité des hardware wallets

Le hack Coldcard frappe d’autant plus fort que ce wallet est historiquement considéré comme l’un des plus sécurisés du marché, particulièrement prisé des Bitcoiners avancés et des détenteurs de montants importants. Coldcard est conçu pour fonctionner en air gap total — sans connexion USB active lors de la signature des transactions — ce qui le rend théoriquement imperméable aux attaques à distance.

Les premières analyses suggèrent que le vecteur d’attaque ne serait pas une faille dans le firmware du device lui-même, mais potentiellement une compromission en amont : supply chain attack, phishing ciblé des seed phrases, ou exploitation d’une vulnérabilité dans le logiciel compagnon utilisé pour générer ou gérer les wallets. Ces hypothèses restent à confirmer par les investigations en cours.

Cet incident rappelle une vérité fondamentale de la sécurité crypto : la robustesse d’un hardware wallet ne vaut que si l’ensemble de la chaîne de sécurité est préservée — de la génération de la seed phrase à son stockage physique, en passant par les pratiques de l’utilisateur. Un device inviolable ne protège pas contre une seed phrase photographiée ou stockée sur un cloud.