L’opérateur de la troisième vague du piratage Coldcard a déplacé 97,09 BTC. Cette somme représente environ 45 % des bitcoins dérobés durant cette phase.

Ces bitcoins valaient environ 7,8 millions de dollars le 7 septembre 2026. Ils ont rejoint Ethereum ou des transactions CoinJoin.

📖 Coldcard : Détails techniques de la faille d’entropie

Trois mouvements de fonds identifiés

L’opérateur a commencé à déplacer les fonds de la troisième vague le 2 septembre. Les mouvements connus se répartissent ainsi :

• environ 20,5 BTC transférés vers Ethereum via THORChain le 2 septembre ;
• 15,48 BTC envoyés dans une transaction CoinJoin le 5 septembre ;
• 61,12 BTC provenant de dix coffres déplacés vers CoinJoin le 6 septembre.

Les arrondis de ces trois opérations atteignent 97,10 BTC. Cependant, le suivi détaillé établit leur total à 97,09 BTC.

THORChain et CoinJoin compliquent le traçage

THORChain permet d’échanger des actifs entre différentes blockchains. Une partie des bitcoins a ainsi été convertie en Ether sans passer directement par une plateforme centralisée.

CoinJoin regroupe plusieurs transactions Bitcoin afin de mélanger leurs entrées et leurs sorties. Cette méthode ne rend pas les fonds invisibles.

Cependant, elle complique l’identification du chemin suivi par chaque bitcoin. Ces opérations semblent donc chercher à réduire la traçabilité des fonds volés.

Les plus gros coffres traités en premier

L’opérateur avait réparti les bitcoins de la troisième vague dans 293 coffres multisignatures 2 sur 2. Chaque dépense exige donc deux clés.

Ces coffres ne correspondent pas aux wallets originaux des victimes. L’opérateur les a créés après les vols pour organiser les fonds récupérés.

Les mouvements suivent actuellement un classement décroissant. Les 11 plus gros coffres ont déjà été vidés.

• Les dix coffres suivants conservent ensemble 30,81 BTC.
• Les coffres classés de la 61e à la 293e place détiennent 33,77 BTC.
• Le solde exact des coffres classés de la 22e à la 60e place n’apparaît pas dans les données publiées.

Un nouveau coffre relié à 58 adresses

Les derniers mouvements ont révélé un coffre jusqu’ici inconnu. Il rassemblait des bitcoins provenant de 58 adresses.

Ce coffre utilisait la même structure multisignature 2 sur 2 que les coffres de la troisième vague. L’opérateur a également regroupé ses fonds avant un transfert vers CoinJoin.

Les analystes considèrent ce coffre comme probablement lié à une autre victime Coldcard. Cependant, son origine reste officiellement classée comme indéterminée.

Sa confirmation porterait la troisième vague à 294 coffres. Le total général du piratage atteindrait alors environ 1 806 BTC, soit 143,9 millions de dollars.

82 % des bitcoins restent immobiles

Environ 82 % des bitcoins dérobés lors de l’ensemble du piratage restent sur leurs premières adresses contrôlées par les attaquants.

Les 18 % restants ont déjà bougé. Une partie a rejoint CoinJoin, tandis que d’autres fonds ont été convertis via THORChain.

À la mi-août, le bilan confirmé atteignait 1 778,84 BTC. Il concernait 190 victimes et plus de 8 600 adresses.

Une éventuelle quatrième vague reste également envisagée. Cependant, les éléments disponibles ne permettent toujours pas de la confirmer.

La faille remonte à un firmware de 2021

Les vols ont commencé le 30 juillet 2026. Ils exploitent une faiblesse introduite avec le firmware Coldcard 4.0.1, publié le 29 mars 2021.

Cette erreur réduisait le caractère aléatoire utilisé lors de la création de certaines seeds. Les attaquants pouvaient alors rechercher les clés privées sans accéder physiquement aux appareils.

Coldcard a publié le firmware corrigé 4.2.0 le 31 juillet 2026 pour les modèles Mk2 et Mk3. Toutefois, une mise à jour ne répare pas une ancienne seed vulnérable.

Les utilisateurs concernés doivent créer une nouvelle seed avec une version corrigée. Ils doivent ensuite transférer leurs bitcoins vers de nouvelles adresses.

🔍 DUC, mon avis

La conservation personnelle reste fondamentale. Cependant, elle ne dispense jamais de vérifier la génération de la seed. Un hardware wallet protège les clés, mais une clé prévisible reste une mauvaise clé. Pour des montants importants, une passphrase solide ou un multisig diversifié réduit la dépendance envers un seul appareil.

En Bref

Les nouveaux mouvements montrent une stratégie progressive, organisée et tournée vers la dissimulation. Cependant, 82 % des bitcoins suivis restent immobiles. Leur déplacement futur pourrait encore révéler de nouvelles victimes et préciser le bilan réel.

✍️ DUC
Sources : Galaxy Research — suivi de la troisième vague · Galaxy Research — classement des coffres déplacés · Galaxy Research — situation globale des fonds · Galaxy Research — bilan du piratage Coldcard · Coldcard — versions des firmwares Mk2 et Mk3

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC