Failles Bitcoin : bilan au 26 août 2026

L’écosystème Bitcoin a connu plusieurs failles graves entre mars et août 2026. La plus importante concerne COLDCARD. Elle a permis de retrouver certaines clés privées insuffisamment aléatoires.

Galaxy Research relie désormais 1 789,28 BTC volés à cette faiblesse avec une forte confiance. Cependant, le protocole Bitcoin n’a pas été piraté.

Les incidents touchent surtout les wallets, les services Lightning, les systèmes de commande et les outils périphériques. Ce classement distingue les exploitations réelles des risques théoriques.

⚠️ Les principales failles récentes au 26 août 2026

Ce classement repose sur quatre critères : pertes constatées, exploitation réelle, étendue et difficulté d’attaque.

Rang	Incident	Niveau	Impact vérifié
1	COLDCARD	Critique	1 789,28 BTC attribués avec une forte confiance
2	BTCPay Server	Critique	Identifiants LND volés et fonds dérobés
3	SafePal	Élevé	39 798 dossiers clients exposés
4	Trezor et ShipMonk	Élevé	13 689 clients exposés
5	Boltz	Élevé	Exploitations répétées et swaps suspendus
6	Bitcoin Core	Moyen	Crash distant possible sur les anciennes versions
7	Bitkey	Faible à moyen	Scénario complexe, sans perte connue
8	Trezor Safe 7	Faible	Attaque physique de laboratoire

1. COLDCARD : la faille la plus grave

COLDCARD utilisait une mauvaise source de nombres aléatoires pendant la création de certaines seeds. Le firmware appelait un générateur logiciel déterministe au lieu du générateur matériel prévu.

Cette erreur a réduit l’espace de recherche des attaquants. Coinkite estime environ 40 bits d’entropie sur les Mk2 et Mk3 concernés.

Les Mk4, Mk5 et Q concernés disposaient d’environ 72 bits. Ces modèles profitaient de sources supplémentaires, mais restaient sous les 128 bits attendus.

Un bilan désormais supérieur à 1 789 BTC

Galaxy Research a attribué le vol de 1 789,28 bitcoins provenant de 8 865 adresses au piratage de Coldcard, selon une publication X de lundi d’Alex Thorn, responsable de la recherche chez Galaxy. Les fonds valaient 114,7 millions de dollars au moment du vol. Galaxy Research avait contacté environ 190 à 221 victimes.

Thorn a déclaré que les attaquants n’avaient pas dépensé 1 561 bitcoins, soit 87,3 % des pertes attribuées. Les fonds restent sur des adresses de collecte ou de conservation contrôlées par les attaquants, y compris la totalité des bitcoins volés lors des trois premières vagues d’attaques.

En ajoutant plusieurs ensembles encore incertains, le total potentiel atteignait 2 417,35 BTC, soit environ 154 millions de dollars. Ce second montant reste non confirmé.

Quels modèles et firmwares sont concernés ?

Mk2 et Mk3 : Firmwares de 4.0.1 à 4.1.9 inclus (entropie réduite à ~40 bits). Le correctif minimum requis est la version 4.2.0.
Mk4 et Mk5 : Versions standard antérieures à 5.6.0 ou versions Edge antérieures à 6.6.0X. Les versions recommandées et corrigées sont 5.6.1 (standard) et au-delà.
Modèle Q : Versions antérieures à 1.5.0Q ou Edge antérieures à 6.6.0QX. La version corrigée recommandée est 1.5.1Q.

Une seed complétée avec au moins 50 lancers privés et indépendants n’est pas vulnérable à cette seule erreur. Une passphrase forte ajoute également une barrière indépendante.

⚠️ Action indispensable : une mise à jour ne répare jamais une ancienne seed vulnérable.

Il faut générer une nouvelle seed sur le firmware corrigé, puis déplacer les bitcoins vers le nouveau wallet.

Coinkite recommande maintenant les firmwares 5.6.1 pour Mk4 et Mk5, puis 1.5.1Q pour Q. La société impose aussi une contribution physique à l’entropie.

2. BTCPay Server : des nœuds Lightning vidés

BTCPay Server a corrigé une faille critique dans sa version 2.4.2. Toutes les versions précédentes étaient concernées, y compris les versions candidates 2.4.2.

Un attaquant distant non authentifié pouvait obtenir les fichiers .macaroon de LND. Ces identifiants permettent de contrôler un nœud Lightning.

BTCPay Server a confirmé l’exploitation et le vol de fonds. Plusieurs victimes ont signalé des paiements frauduleux et des fermetures inattendues de canaux.

En revanche, les wallets on-chain classiques de BTCPay Server n’étaient pas concernés. Le risque visait les installations connectées à LND.

Le montant total volé n’a pas été publié. Il serait donc trompeur d’inventer un bilan à partir de quelques témoignages.

⚠️ Pour les utilisateurs concernés : installez BTCPay Server 2.4.2 et LND 0.21.1. Vérifiez aussi vos paiements, vos canaux et vos soldes.

Si vous ne pouvez pas effectuer la mise à jour, déconnectez immédiatement le serveur concerné d’Internet.

3. SafePal : 39 798 dossiers clients exposés

SafePal a révélé une faille d’autorisation dans un module de suivi des commandes. Elle permettait d’accéder aux informations d’un autre client.

L’incident concerne environ 39 798 clients. Les commandes exposées avaient été passées entre le 2 mars 2025 et le 11 avril 2026.

Les données comprennent les noms, courriels, téléphones, adresses de livraison et détails d’achat. SafePal a corrigé la faille.

Aucune seed, clé privée, donnée bancaire ou pièce d’identité n’a été exposée. Aucun accès direct aux wallets n’a été constaté.

Cependant, ces informations facilitent le phishing ciblé. Elles peuvent également guider des tentatives d’usurpation ou des menaces physiques.

4. Trezor : 13 689 clients identifiés

ShipMonk, un prestataire logistique de Trezor, a subi un accès non autorisé à ses systèmes. Trezor a été informé le 10 août 2026.

La fuite expose complètement 11 742 clients. Elle comprend leur nom, téléphone, courriel et adresse de livraison.

Elle expose partiellement 1 947 autres clients. Pour eux, les données comprennent le nom, la ville et le courriel.

Le total atteint donc 13 689 personnes. Les appareils, backups et clés privées restent toutefois intacts.

SafePal et Trezor représentent ensemble 53 487 dossiers clients. Ce total additionne deux incidents indépendants, sans supposer de victimes communes.

⚠️ Règle essentielle : aucun fabricant ne doit vous demander votre seed, votre clé privée ou votre passphrase.

Ignorez les appels, courriels, lettres et QR codes qui réclament ces informations.

5. Boltz : des failles forcent l’arrêt des swaps

Boltz permettait des swaps non custodiaux entre Bitcoin, Lightning et Liquid. L’équipe a suspendu tous ses swaps le 3 août 2026.

Selon Boltz, plusieurs groupes menaient des recherches automatisées contre son infrastructure. Plusieurs exploitations auraient réussi pendant les mois précédents.

Boltz affirme avoir absorbé les pertes sans exposer les fonds des clients. Son architecture non custodiale aurait donc limité les conséquences.

Cependant, aucun rapport technique indépendant ne détaille chaque faille. Le montant des pertes internes reste également inconnu.

Au 26 août 2026, Boltz indiquait toujours que ses swaps restaient indisponibles.

La nouvelle équipe technique travaille toujours à identifier et corriger l’ensemble des vulnérabilités pour s’assurer que l’infrastructure puisse résister aux futures attaques assistées par IA

6. Bitcoin Core : un bloc pouvait faire planter des nœuds

Bitcoin Core a révélé la faille CVE-2024-52911 le 5 mai 2026. Elle affectait les versions postérieures à 0.14.0 et antérieures à 29.0.

Un bloc spécialement construit pouvait provoquer l’utilisation d’une zone mémoire déjà libérée. Le nœud visé risquait alors de s’arrêter.

L’attaque exigeait toutefois une preuve de travail valide au sommet de la chaîne. Cette condition rendait l’exploitation coûteuse et difficile.

La version 29.0 corrigeait déjà le problème depuis avril 2025. Aucun vol de bitcoins lié à cette faille n’a été signalé.

Les développeurs continuent de travailler sur des améliorations de routine qui n’affectent en rien la stabilité actuelle du logiciel :

Discussions sur les réseaux alternatifs : Des débats mineurs ont lieu pour retirer le support de réseaux marginaux et peu sécurisés comme CJDNS dans les futures versions, afin de concentrer la sécurité sur Tor et I2P.
Optimisation des transactions : Le code est continuellement ajusté pour mieux gérer les volumes de transactions dans la file d’attente (mempool), garantissant la fluidité du réseau.

Bilan : Vous pouvez utiliser Bitcoin Core en toute confiance, le système est 100 % OK.

7. Bitkey : une faiblesse dans l’inscription des proches

Bitkey a corrigé une faiblesse concernant l’ajout d’un bénéficiaire ou d’un contact de récupération. Elle permettait une substitution pendant l’inscription.

Un attaquant devait contrôler les échanges entre l’application et le service Bitkey. Il pouvait alors remplacer une clé de déchiffrement déléguée.

Cette attaque ne révélait pas la clé du hardware wallet. Elle ne suffisait pas non plus pour déplacer les fonds.

Un vol aurait exigé une seconde compromission du mécanisme de signature serveur. Bitkey n’a signalé aucune perte liée à ce problème.

La faille sur l’héritage est de l’histoire ancienne.
Aucune action n’est requise de la part des utilisateurs de Bitkey. Le portefeuille est considéré par certain comme l’un des refuges les plus sûrs de l’écosystème à la suite de ces événements grâce à sa conception sans phrase de récupération classique (seedless)

8. Trezor Safe 7 : une attaque laser en laboratoire

Ledger Donjon a réussi une attaque par injection laser contre le composant TROPIC01. Ce composant équipe notamment le Trezor Safe 7.

L’expérience permettait de contourner certaines vérifications pendant le démarrage ou la mise à jour. Elle nécessitait toutefois l’accès physique et un laboratoire spécialisé.

Trezor affirme que ses autres protections empêchent l’accès au PIN, au backup et aux fonds. Aucun cas réel d’exploitation n’est connu.

Le matériel reste l’un des plus robustes du marché. Si vous possédez un Trezor Safe 7, la seule consigne absolue est la vigilance : ne tapez jamais vos 20 mots de récupération sur un ordinateur ou un téléphone, même si vous recevez un email alarmant prétendant que votre appareil a une faille

**toutes les actualités pertinentes du Bitcoin sur Internet !**

👉 Les alertes qu’il ne faut pas transformer en failles confirmées

Les milliers de résultats du Bitcoin Red Team

La Bitcoin Red Team est l’un des mouvements les plus marquants de ce mois d’août 2026. Il s’agit d’un collectif d’urgence de hackers éthiques et de développeurs formé pour protéger l’écosystème Bitcoin contre une nouvelle vague de cyberattaques massives assistées par intelligence artificielle

La Genèse : Une réponse au piratage de Coldcard

Le groupe s’est constitué de manière bénévole début août 2026, sous l’impulsion du développeur Calle (créateur sur le protocole Cashu) et de Rob Hamilton (PDG d’AnchorWatch).

Le déclencheur : Le piratage dévastateur du portefeuille matériel Coldcard, qui a causé le vol de plus de 114 millions de dollars en Bitcoin à cause d’une faille de génération aléatoire exploitée par des IA malveillantes.
La mission : Utiliser la puissance de l’IA offensive pour scanner l’intégralité du code open-source de l’écosystème Bitcoin afin de trouver et corriger les failles de sécurité avant que les pirates ne les exploitent.

Un bilan de sécurité brutal (Mi-Août 2026)

Le collectif s’est rapidement élargi à environ 20-25 experts répartis dans le monde entier, travaillant 24h/24. En combinant des modèles d’IA de pointe (comme Chemist 3 ou l’IA open-source Kimi K3) avec une revue humaine, ils ont dressé un état des lieux alarmant :

4 962 anomalies détectées en seulement 30 heures de scan sur 390 projets open-source liés à Bitcoin.
720 vulnérabilités à haut risque ou critiques identifiées.
Le Réseau Lightning très exposé : D’après le développeur Calle, le réseau Lightning souffre d’une importante « dette technique » accumulée au fil des ans. Sa complexité structurelle en fait la cible la plus fragile face aux outils d’analyse automatisés.

Après l’affaire COLDCARD, le Bitcoin Red Team a analysé des centaines de dépôts logiciels. Après 108 heures, il recensait 7 958 résultats potentiels. Parmi eux, 1 280 portaient une classification élevée ou critique. Environ 24,7 % avaient été reproduits dynamiquement à ce stade.

Ces nombres ne représentent pas 7 958 failles exploitables. Les mainteneurs doivent encore confirmer, corriger ou rejeter chaque signalement.

Où en est-on au 26 août 2026 ?

Un nettoyage massif en cours : La Bitcoin Red Team travaille d’arrache-pied avec les gestionnaires des différents portefeuilles et protocoles pour déployer des correctifs en urgence. C’est grâce à leurs alertes que des correctifs majeurs ont été appliqués récemment sur le processeur de paiement BTCPay Server (qui a corrigé une faille critique de vol de fonds) et sur les nouveaux micrologiciels (firmwares) de Coldcard.

Un changement de paradigme pour la sécurité : L’émergence de la Bitcoin Red Team prouve que l’audit de sécurité traditionnel (humain) est dépassé. Désormais, la sécurité des cryptomonnaies est devenue une « guerre d’IA contre IA ». Les projets n’étant plus activement maintenus ou mis à jour par des humains sont aujourd’hui considérés comme vulnérables par défaut.

Financement bouclé : Le groupe a annoncé avoir dépensé environ 20 000 $ en infrastructure et APIs d’IA (financés notamment par des dons et la fondation OpenSats), et indique que son budget est totalement sécurisé pour continuer ses opérations.

Le risque quantique

Le risque quantique mérite une préparation sérieuse. Cependant, aucun ordinateur quantique actuel ne peut casser les signatures de Bitcoin.

La Menace : Quel est le problème réel ?

Le chiffrement de Bitcoin repose sur deux piliers mathématiques distincts, et ils ne réagissent pas de la même manière face à un ordinateur quantique :

La signature ECDSA (Axe vulnérable) : Bitcoin utilise l’algorithme ECDSA pour lier une clé publique à une clé privée. Un ordinateur quantique ultra-puissant (exécutant l’algorithme de Shor) pourrait inverser ce processus : trouver la clé privée à partir de la clé publique, et donc voler les fonds.
Le minage SHA-256 (Axe résistant) : La fonction de hachage utilisée pour le minage est beaucoup plus robuste. Un ordinateur quantique (via l’algorithme de Grover) n’obtiendrait qu’une accélération modérée. Les mineurs traditionnels (ASIC) resteraient compétitifs, ou le réseau adapterait simplement la difficulté de minage.

Les fonds les plus exposés (Les « Adresses Fantômes »)

Le risque majeur concerne environ 25 % à 30 % des bitcoins en circulation (soit plus de 4 millions de BTC) :

Les adresses p2pkh anciennes : Cela inclut le million de bitcoins minés par Satoshi Nakamoto et les portefeuilles créés avant 2010. Sur ces vieilles adresses, la clé publique est directement visible sur la blockchain.
Les adresses réutilisées : Dès qu’une adresse moderne effectue une transaction sortante, sa clé publique est temporairement exposée. Si l’adresse est réutilisée, elle devient vulnérable.

Sur les adresses modernes (p2wpkh ou p2tr tant qu’elles n’ont jamais dépensé), la clé publique est masquée derrière un double hachage (SHA-256 + RIPEMD-160), ce qui les rend totalement invisibles et sûres face à un ordinateur quantique.

BREF, le risque quantique est réel mais anticipé. Pour l’utilisateur moyen en 2026, la consigne reste simple : ne réutilisez jamais deux fois la même adresse Bitcoin.

Il s’agit donc d’un risque futur, pas d’une faille exploitée en 2026. Le mélanger aux vols récents fausserait le classement.

🍀 Bitcoin lui-même a-t-il été piraté ?

₿ Point essentiel : aucune de ces affaires ne démontre un piratage du protocole Bitcoin.

Elles concernent des logiciels, appareils, services ou prestataires construits autour de lui.

Cette distinction ne minimise pas les pertes. Elle identifie simplement le bon niveau de défaillance et évite une conclusion trompeuse.

🎤 Conférences : Bitcoin Comprendre l’Essentiel

🔼 BILLETTERIE BCE#3 🔼

⚡Comment sécuriser réellement ses bitcoins ?

La sécurité absolue n’existe pas. Cependant, plusieurs barrières indépendantes peuvent empêcher une seule erreur de provoquer une perte totale.

1. Garder seulement une petite somme sur un wallet connecté

Un wallet mobile ou Lightning reste connecté à Internet. Il doit contenir une somme adaptée aux dépenses courantes.

Conservez l’épargne principale sur un wallet froid. Ainsi, la compromission du téléphone ne menace pas tout votre patrimoine.

2. Acheter le hardware wallet auprès d’une source officielle

Achetez directement auprès du fabricant ou d’un revendeur officiellement référencé. Vérifiez l’emballage, le firmware et l’authenticité de l’appareil.

Réduisez les données communiquées lors de la commande. Utilisez une adresse électronique dédiée et une livraison moins exposante lorsque cela reste légal.

3. Générer la seed hors ligne avec une entropie vérifiable

Générez toujours la seed sur un appareil hors ligne et à jour. Ne photographiez jamais les mots et ne les saisissez jamais sur un ordinateur.

Pour 24 mots fondés entièrement sur des dés, utilisez 99 lancers indépendants et privés. Cette méthode apporte environ 256 bits d’entropie.

Ne réutilisez jamais les résultats. Ne laissez aucune caméra, microphone ou personne observer la génération.

⚠️ Secret absolu : ne photographiez jamais votre seed. Ne la saisissez jamais sur un téléphone, un ordinateur ou un site Internet.

4. Ajouter une passphrase seulement si vous la maîtrisez

Une passphrase BIP-39 forte protège vos bitcoins si quelqu’un découvre vos 12 ou 24 mots. Cependant, chaque passphrase génère un wallet différent.

Une simple faute, majuscule ou espace ouvre donc un autre wallet parfaitement valide, mais généralement vide. Le logiciel ne signale aucune erreur.

Ce nouveau wallet existe mathématiquement. Cependant, aucune transaction n’a généralement envoyé de bitcoins vers ses adresses.

⚠️ Point important : conservez votre passphrase exacte séparément de votre seed.

Préparez également une procédure de transmission claire pour vos héritiers.

5. Vérifier chaque adresse sur l’écran du wallet

Un ordinateur infecté peut remplacer l’adresse affichée dans Sparrow ou un autre logiciel. Vérifiez toujours l’adresse sur l’écran du hardware wallet.

Contrôlez également le montant, les frais et les sorties. Pour un transfert important, commencez avec une petite transaction de test.

⚠️ Avant de signer : l’adresse affichée sur le hardware wallet constitue votre référence.

Ne validez jamais une transaction si cette adresse diffère de celle du destinataire.

6. Tester la restauration avant de déposer une grosse somme

Notez l’empreinte du wallet et une adresse de réception. Ensuite, effacez un appareil vide et testez la restauration.

Cette vérification confirme les mots, leur ordre et la passphrase. Une sauvegarde jamais testée reste une promesse, pas une garantie.

⚠️ Avant un dépôt important : testez toujours la restauration avec un wallet vide ou une somme négligeable.

7. Utiliser un multisig diversifié pour les montants importants

Un multisig 2 sur 3 réduit le risque lié à une seule seed. Choisissez des appareils de fabricants différents.

Générez chaque clé séparément. Stockez les appareils, backups et descripteurs dans plusieurs lieux sécurisés.

⚠️ Attention : le multisig ajoute de la complexité. Une mauvaise sauvegarde de sa configuration peut bloquer les fonds.

Faites-vous accompagner et testez entièrement la récupération avant d’y placer votre épargne.