Eric Balchunas, analyste senior d'ETF chez Bloomberg Intelligence, a déclaré le 2 août que la défaillance de sécurité de Coldcard renforce l'argument en faveur des ETF Bitcoin au comptant américains, en particulier pour les investisseurs qui souhaitent une exposition à long terme au prix sans avoir à gérer les clés privées.
Ses commentaires faisaient suite à l'estimation de Galaxy Research selon laquelle trois vagues d'attaques présumées ont vidé 1 367,05 BTC, d'une valeur d'environ 88,6 millions de dollars, de 4 585 adresses.
Balchunas a écrit : « Oui, un ETF corrige cela », tout en notant que certains défenseurs de l'auto-garde rejettent ces fonds comme du « bitcoin papier ». Il s'agit de son point de vue sur la garde, et non d'une preuve que les investisseurs ont transféré des fonds vers des ETF en raison de l'incident. Les marchés américains étaient fermés lorsqu'il a publié ses commentaires du week-end, ne laissant aucune réaction vérifiée des flux de fonds après ces commentaires.
L'équipe d'ingénierie Bitcoin de Block a découvert qu'une erreur d'intégration du firmware acheminait la génération de nombres aléatoires par le biais d'un mécanisme de secours MicroPython déterministe au lieu de la source matérielle prévue. Son rapport a indiqué que les appareils Mk2 et Mk3 dotés d'un firmware vulnérable n'ajoutaient aucune entropie cryptographique via ce chemin. Les modèles ultérieurs ont utilisé une regénération limitée d'éléments sécurisés.
L'avis de sécurité de Coinkite couvre les firmwares Mk2 et Mk3 des versions 4.0.1 à 4.1.9, ainsi que les phrases de récupération (seeds) générées sur les appareils Mk4, Mk5 et Q avant leurs versions corrigées. L'entreprise a publié un firmware corrigé, mais a averti que la mise à jour du logiciel ne répare pas les phrases de récupération créées précédemment. Les utilisateurs doivent générer une nouvelle phrase de récupération et déplacer leurs fonds.
La dernière estimation de Galaxy couvre trois vagues de drainage présumées. La troisième a retiré 207,7294 BTC de 1 912 adresses et suivait un schéma de transaction différent. Galaxy a appelé 88,6 millions de dollars sa « taille observée estimée », ce qui signifie que le chiffre reste une estimation on-chain plutôt qu'un total final confirmé par Coinkite ou les forces de l'ordre.
Balchunas a également remis en question la capacité d'une entreprise de portefeuilles matériels prétendument petite à protéger des sommes capables de changer une vie. Il a qualifié le niveau d'effectifs rapporté de « signal d'alarme ». Coinkite n'a pas confirmé publiquement l'effectif cité dans son message, et la taille de l'entreprise seule ne détermine pas si un système de sécurité est adéquat.
Un ETF Bitcoin au comptant soulage l'investisseur de la création de la phrase de récupération, des mises à jour du firmware, des sauvegardes et de la migration du portefeuille. Le fonds et ses prestataires de services gèrent ces tâches. BlackRock affirme que son ETF iShares Bitcoin Trust, ou IBIT, simplifie le travail opérationnel et de garde lié à la détention directe de Bitcoin. IBIT a déclaré 46,52 milliards de dollars d'actifs nets au 31 juillet et applique des frais de parrainage de 0,25 %.
Le dépôt auprès de la SEC d'IBIT indique que Coinbase Custody détient les clés privées du trust dans des portefeuilles de stockage à froid ségrégués. Il nomme également Anchorage Digital Bank comme dépositaire supplémentaire que BlackRock peut utiliser. Le dépôt décrit un accès limité des employés, des examens de contrôle externes et un processus dans lequel aucun employé du dépositaire n'a accès à l'ensemble des clés privées.
Fidelity utilise Fidelity Digital Assets pour déposer le Bitcoin pour son fonds Wise Origin Bitcoin. De tels produits permettent aux investisseurs américains d'obtenir une exposition via des comptes de courtage, de fiducie et fiscalement avantageux sans avoir à utiliser un portefeuille matériel. Cela peut être important pour les conseillers et les investisseurs en retraite qui ne recherchent qu'une exposition au prix.
Cependant, le terme « ETF réglementé » nécessite un contexte. IBIT est un produit déclaré à la SEC et coté au Nasdaq, mais BlackRock déclare que le trust n'est pas enregistré en vertu de l'Investment Company Act de 1940. Il ne bénéficie donc pas de toutes les protections qui s'appliquent aux fonds communs de placement et aux ETF enregistrés conventionnels.
La structure de l'ETF remplace le risque individuel lié à la phrase de récupération par des risques de garde institutionnelle, opérationnels et de contrepartie. Le dépôt annuel d'IBIT avertit que des pirates informatiques, des fautes professionnelles d'employés, des défaillances techniques ou des transferts non autorisés pourraient toujours entraîner des pertes. Il indique également que l'assurance partagée de Coinbase pourrait être insuffisante pour chaque événement possible.
Le dépôt stipule que les actionnaires ne peuvent pas intenter de réclamations directes contre le dépositaire de Bitcoin en vertu de l'accord de garde. Aucune partie ne garantit tous les actifs du trust ou les obligations des prestataires de services. Ces divulgations ne montrent pas que les ETF sont moins sécurisés que les portefeuilles personnels. Elles montrent que le risque est transféré aux institutions et aux arrangements contractuels.
Les actionnaires d'ETF possèdent également des titres plutôt que du Bitcoin dépensable. Les actions IBIT sont négociées sur le Nasdaq, et les rachats s'effectuent par l'intermédiaire de participants autorisés par lots de 40 000 actions. Les investisseurs particuliers ne peuvent pas retirer leurs avoirs en ETF vers une adresse personnelle, effectuer des paiements en Bitcoin ou effectuer des transactions dès que le réseau est ouvert.
Comme indiqué précédemment dans l'explicatif sur les ETF Bitcoin de crypto.news, l'enveloppe offre un accès plus facile et une garde professionnelle, mais supprime la propriété directe et l'utilisation 24h/24 et 7j/7. Dans un article connexe, un examen technique du bug Coldcard a révélé que la défaillance concernait la génération de la phrase de récupération plutôt que le phishing ou le vol physique.
L'argument de Balchunas pourrait séduire les investisseurs qui ne souhaitent que la performance du prix du Bitcoin. L'incident pourrait également encourager les détenteurs à répartir leurs fonds entre des portefeuilles personnels, des configurations multisignature et des dépositaires réglementés au lieu de s'appuyer sur un seul appareil ou fournisseur. Il s'agit là de réponses possibles plutôt que de comportements d'investisseurs confirmés.
Pourtant, aucune donnée vérifiée ne montre que le drainage de Coldcard a créé une nouvelle demande d'ETF Bitcoin. Les derniers chiffres officiels de BlackRock couvrent le 31 juillet, avant les commentaires de Balchunas le 2 août. La valeur liquidative (NAV) d'IBIT a chuté de 2,78 % ce jour-là, mais ce mouvement ne peut être lié uniquement à l'incident du portefeuille.
La prochaine séance de négociation américaine pourrait montrer si les flux d'ETF changent, bien qu'une seule journée d'activité ne prouverait pas de lien. Les prix du Bitcoin, les conditions économiques et le rééquilibrage de portefeuille sont également des facteurs de création et de rachat de fonds.
