Hack Coldcard : le voleur de la vague 1 serait déjà connu du FBI

Plus de 1 082 BTC volés, toujours intacts dans l’adresse du hacker. Une piste concrète remontant à un compte payant chez un fournisseur de données blockchain. Et une question qui plane : s’agit-il d’un attaquant extérieur sophistiqué, ou d’un insider qui connaissait le bug depuis des années ?

L’affaire Coldcard prend une nouvelle dimension. Selon les enquêteurs de Block et les analyses d’Alex Thorn chez Galaxy Research, l’identité du hacker responsable de la première et plus massive vague de drains pourrait déjà être connue des autorités américaines. Un scénario qui laisse espérer un éventuel remboursement des victimes — si les fonds restent gelés.

Voici ce que l’on sait, et ce que les données on-chain révèlent sur l’un des hacks Bitcoin les plus importants de 2026.

1 082 BTC volés, une empreinte numérique qui trahit le hacker

Le 30 juillet 2026, un attaquant a commencé à vider méthodiquement des portefeuilles Coldcard ayant généré leurs seeds sous des firmwares vulnérables — un bug d’entropie resté non détecté pendant cinq ans, présent dès le MK2 avec le firmware 4.0.1. La première vague, la plus massive, a déplacé 1 082,65 BTC en un seul mouvement coordonné. Les vagues suivantes ont porté le total estimé à plus de 2 000 BTC, soit environ 118 millions de dollars confirmés volés à ce stade.

C’est l’équipe d’ingénierie de Block, via Clay Garrett, qui a fourni la piste la plus solide. Dès le 31 juillet, Garrett publiait les conclusions de son investigation : « Nous avons identifié un pattern inhabituel dans les sweeps. Ce pattern nous a conduits à une hypothèse depuis confirmée : l’opérateur a utilisé un compte payant chez un fournisseur de services blockchain bien connu pour interroger les adresses source et effectuer d’autres activités connexes pendant les drains. » Block a contacté le fournisseur, dont les logs internes correspondent au pattern de vol avec une « spécificité extraordinaire ».

Alex Thorn, lors d’une intervention sur le Bitcoin Magazine YouTube, a été explicite : « L’identité de l’attaquant de la vague 1 est peut-être connue des forces de l’ordre. » Les 1 082,65 BTC de la vague 1 restent intacts dans l’adresse du hacker — un détail crucial qui maintient ouverte la possibilité d’un clawback pour les victimes.

Bug d’entropie ou attaque insider ? La question qui change tout

Derrière la traque du hacker se cache une interrogation encore plus dérangeante : qui connaissait ce bug depuis le début ? La faille d’entropie affectant la génération de clés privées sur les Coldcard MK2 et versions ultérieures (firmware 4.0.1+) est restée dormante pendant cinq ans. Coinkite elle-même avait évoqué publiquement le risque d’une « retirement attack » — un scénario où un insider exploiterait une backdoor au moment de quitter l’entreprise.

Cette hypothèse n’est pas écartée. La précision chirurgicale des sweeps, la connaissance apparente des adresses vulnérables, et l’utilisation d’un compte professionnel chez un fournisseur de données blockchain pointent vers quelqu’un disposant d’une expertise technique avancée — et potentiellement d’un accès privilégié à des informations internes. La vague 2, qui ajoute environ 76 BTC supplémentaires au total, présente un pattern suffisamment similaire pour qu’Alex Thorn envisage qu’il s’agisse du même acteur.

L’attaque est toujours en cours. Coinkite a publié un advisory urgent : tout utilisateur d’un Coldcard MK2 ou supérieur avec firmware 4.0.1 ou ultérieur doit vérifier ses fonds et les déplacer immédiatement. Plus de 5 000 adresses ont été compromises selon les estimations actuelles, et les rapports de nouvelles victimes continuent d’affluer. La fenêtre pour agir reste ouverte — mais elle se referme.