Les pertes de Bitcoin volés suite à l'exploit massif du portefeuille Coldcard ont commencé à ralentir, mais le montant total de BTC dérobés continue d'augmenter – et le pire n'est peut-être pas encore passé.

C'est la dernière mise à jour de Galaxy Research, la société de recherche crypto qui suit l'exploit depuis le début. La société a déclaré jeudi que l'exploit de recréation de la graine Coldcard a désormais siphonné plus de 1 778 BTC – environ 112 millions de dollars – et que le chiffre final sera probablement plus élevé.

Galaxy a déclaré avoir une "très grande confiance" dans ce décompte, qui inclut les vols confirmés et attribués aux propriétaires depuis le début de l'attaque le 30 juillet, selon son fil de discussion sur X.

"Les attaquants exécutent cette attaque depuis au moins le matin du 30 juillet 2026, recréant systématiquement les graines générées par Coldcard et balayant les fonds onchain," a écrit Galaxy Research.

Parmi les vagues et empreintes confirmées par Galaxy, aucune ne montre d'activité après le 6 août. Cela ne signifie pas que la méthode a cessé de fonctionner. Cela signifie que les cibles faciles ont disparu.

Ce que les chaînes révèlent

Une mise à jour du micrologiciel en 2021 a discrètement redirigé la génération de la graine de Coldcard de sa puce matérielle de nombres aléatoires vers un substitut logiciel, réduisant la force de la clé de 128 bits à seulement 40. Les attaquants pouvaient reconstruire les graines à partir du numéro de série et de l'état de l'horloge d'un appareil, puis balayer les fonds sans recourir au phishing ou à des techniques de malware, et même sans accès physique aux appareils réels.

L'analyse de Galaxy situe la plus grande vague avérée – la Vague 1 – à 1 082,65 BTC, retirés de 1 195 adresses dans les premières minutes. Cela représentait environ 70,5 millions de dollars de Bitcoin volés à l'époque.

L'empreinte E, le plus grand cluster unique confirmé par les propriétaires, a pris 209,94 BTC (environ 13,3 millions de dollars) sur 2 148 adresses ; la Vague 3 a pris 208,24 BTC (près de 13,0 millions de dollars) sur 1 912 adresses. Sur les trois vagues avérées et 41 empreintes plus petites, la société recense plus de 5 200 adresses vidées. Au bloc 962 304 (données du 13 août), 1 499,27 BTC (près de 93,9 millions de dollars) restaient non dépensés entre les mains des attaquants.

Sur la mince part que Galaxy peut tracer jusqu'à un point final – 174,97 BTC – la majeure partie est allée dans des tours de confidentialité Coinjoin, avec de petites quantités atteignant KuCoin et Jump Crypto.

Galaxy a parlé directement à plus de 190 victimes pour attribuer les pertes. "La diminution des vagues d'attaque est probablement due au fait que les utilisateurs vulnérables ont migré ou que la plupart des fonds ont déjà été drainés," a-t-il écrit. La société répète son conseil : "Si vous détenez toujours des fonds sur un portefeuille Coldcard à signature unique, il vous est conseillé de transférer vos fonds vers de nouvelles adresses."

Cet épisode a déjà poussé environ 15 milliards de dollars en Bitcoin vers une garde plus sûre et a attiré un avertissement de Ledger selon lequel la sécurité des portefeuilles doit s'adapter à la découverte assistée par l'IA. Les pairs de l'industrie du matériel ont également signalé une recrudescence du phishing profitant de la panique.

Galaxy signale toujours une quatrième vague potentielle – 638,5 BTC qu'elle n'a pas confirmés – qui porterait le bilan à 2 417 BTC, soit plus de 151,3 millions de dollars aux prix actuels.