Les attaques visant Coldcard et Ledger soulèvent des questions sur la sécurité des hardware wallets

​Deux incidents de sécurité majeurs impliquant Coldcard et Ledger ont ébranlé la confiance dans les hardware wallets de cryptomonnaies. Ces attaques ont révélé des vulnérabilités sur des appareils longtemps considérés comme faisant partie des moyens les plus sûrs de stocker des bitcoins. Peter Todd, Jack Mallers et d'autres figures de premier plan du secteur se demandent désormais si les hardware wallets dédiés valent les risques qu'ils comportent, ou si d'autres approches offrent une meilleure protection.

2026 est sans doute la pire année jamais enregistrée pour les incidents de sécurité liés au Bitcoin. Ce n'est pas nécessairement en raison du montant de bitcoins perdu, mais parce que deux des attaques les plus graves de l'année ont frappé ce qui était depuis longtemps considéré comme la référence absolue du stockage des cryptomonnaies : les hardware wallets. Les experts de la conservation se demandent désormais ouvertement si des appareils conçus spécifiquement pour les cryptomonnaies sont réellement pertinents, tandis que d'autres rappellent qu'ils expriment leurs réserves à leur sujet depuis des années. Bien sûr, beaucoup estiment aussi qu'abandonner complètement les hardware wallets serait une réaction excessive.

Pour rappel, Coinkite a révélé au cours de l'été qu'un bug du firmware datant de 2021 avait conduit certains appareils Coldcard à générer des seeds avec un niveau d'aléa insuffisant, permettant à des attaquants de recréer les clés privées hors ligne et de transférer les fonds. Les utilisateurs avaient fait confiance au firmware d'un seul fournisseur pour assurer la fonction la plus élémentaire d'un wallet : générer un secret aléatoire, sans moyen simple de savoir que cette fonction avait échoué.

Puis, ce mois-ci, Ledger a confirmé que des attaquants avaient ouvert des appareils authentiques et les avaient équipés d'implants personnalisés capables de lire les phrases de récupération affichées à l'écran lors de la configuration, puis de les transmettre via une connexion cellulaire. La puce sécurisée de Ledger n'a jamais été compromise ; le problème était que personne ne pouvait facilement déterminer si l'appareil entre ses mains était bien celui sorti d'usine, sans aucune modification.

Selon des estimations de tiers, les dégâts dépasseraient 100 M$ dans chacun des cas — l'attaque de la chaîne d'approvisionnement de Ledger et l'incident Coldcard — ce qui explique clairement la paranoïa qui règne désormais dans l'univers crypto lorsqu'il s'agit de sécuriser les fonds.

Les problèmes dépassent Coldcard et Ledger

Le PDG de Strike, Jack Mallers, a récemment exposé plusieurs inconvénients généraux des hardware wallets dans son émission. « Les hardware wallets sont, à mon avis, plus risqués que ne le pensent le marché ou le grand public », a-t-il déclaré. Il a ajouté : « Il y a énormément de confiance implicite dans le fait qu'un appareil expédié n'a pas été altéré, ainsi que dans la chaîne d'approvisionnement. Beaucoup d'intervenants sont impliqués. »

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Mallers a également souligné qu'un firmware open source doit toujours compter suffisamment d'auditeurs pour être digne de confiance, en comparant la base de contributeurs relativement limitée de Coldcard à celle, bien plus vaste, de Bitcoin Core. L'achat d'un hardware wallet peut aussi exposer l'adresse e-mail et l'adresse de livraison des clients si les fournisseurs ou leurs partenaires subissent des fuites de données, a-t-il ajouté, en évoquant les précédentes fuites de données concernant les clients de Ledger et un incident récent impliquant le prestataire logistique de Trezor.

« Désormais, les hackers savent où vous vivez et on voit apparaître des attaques physiques contre des personnes », a-t-il déclaré, en faisant référence à la hausse des attaques au « 5 $ wrench » visant les détenteurs de cryptomonnaies au cours des deux dernières années.

Matériel généraliste contre appareils dédiés aux cryptomonnaies

L'une des faiblesses potentielles des hardware wallets tient précisément à ce qui les rend utiles : ils sont conçus pour un usage unique. Toute personne qui en achète un signale potentiellement qu'elle stocke des clés privées de valeur, ce qui fait de ces appareils des cibles privilégiées pour les attaques visant la chaîne d'approvisionnement.

Le contributeur de Bitcoin Core, Peter Todd, les évite depuis longtemps pour cette raison. « Personnellement, je n'utilise pas de hardware wallets », a-t-il écrit sur X. « Je m'appuie sur la sécurité de @QubesOS avec du matériel standard (par exemple des ordinateurs portables ThinkPad et des Raspberry Pi) achetés anonymement. »

Todd estime que le matériel généraliste est beaucoup plus difficile à cibler, car un attaquant devrait installer une porte dérobée sur un très grand nombre d'appareils pour atteindre le petit nombre de ceux utilisés pour les cryptomonnaies. « Le matériel généraliste constitue une amélioration considérable par rapport aux hardware wallets, car un attaquant doit compromettre bien plus d'unités pour viser un cas d'usage de niche », a-t-il ajouté. « Peut-être qu'un ordinateur portable ou un Raspberry Pi sur 100 stockera un jour des cryptomonnaies. »

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Bien sûr, ce n'est pas une idée nouvelle de la part de Todd. En réalité, lui et d'autres défendent cet argument depuis au moins huit ans. Mallers a également formulé un point similaire dans son émission. Il a en outre suggéré que Bitcoin Core sur un ordinateur portable hors ligne peut suffire aux détenteurs à long terme, tandis que les hardware wallets sont davantage adaptés aux personnes qui doivent signer des transactions plus régulièrement.

Cela dit, le PDG de Foundation, Zach Herbert, a averti sur X que le matériel fabriqué soi-même n'était pas non plus une solution miracle. « Dans combien de temps les vendeurs d'Amazon modifieront-ils des Raspberry Pi et d'autres cartes de développement, dans l'espoir que quelqu'un les utilise pour stocker des bitcoins ou des cryptomonnaies ? », a-t-il demandé.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Les arguments en faveur des hardware wallets

Tout le monde n'est pas encore prêt à renoncer aux hardware wallets. Coinkite a défendu la conception transparente de son boîtier, qui permettrait aux utilisateurs de repérer des composants remplacés ou des implants. Ledger, de son côté, a présenté son incident comme une attaque visant la distribution, plutôt qu'une défaillance de sa puce sécurisée ou de son système d'exploitation. Ledger affirme également que son prochain appareil, le Ledger Atom, aurait empêché le type précis d'exploit utilisé lors de l'attaque de la chaîne d'approvisionnement.

D'autres estiment que les hardware wallets peuvent être rendus plus sûrs en générant les seeds avec des lancers de dés plutôt qu'en faisant confiance à l'aléa produit par l'appareil. « C'est pourquoi apporter sa propre entropie est la solution la plus sûre et la plus simple », a écrit Shinobi, rédacteur technique et éditorial de Bitcoin Magazine, sur X.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Herbert a appelé à mettre en place une détection physique active des altérations ainsi qu'une fabrication plus fiable, tandis que Todd a cité des systèmes d'expédition permettant de détecter les manipulations, comme Entropy Seal, et que Ledger aurait dû utiliser. Herbert a également évoqué un autre moyen de réduire les risques. « Le multisig vous aurait protégé dans ce cas, mais je ne suis pas certain qu'une passphrase l'aurait fait », a-t-il écrit.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

C'est l'argument en faveur du multisig multi-fournisseurs, dans lequel les clés sont réparties entre des appareils provenant de fabricants différents, afin qu'un seul appareil compromis ne puisse pas déplacer les fonds. Selon Ivy Galindo, responsable du growth marketing chez BitGo, aucun des bitcoins volés lors de l'exploit Coldcard ou de l'attaque du revendeur Ledger ne provenait d'une configuration multisig.

« Le multisig multi-fournisseurs vous protège contre les attaques de la chaîne d'approvisionnement », a également écrit Jameson Lopp, cofondateur de Casa, en précisant que les utilisateurs de Casa n'avaient pas été affectés par l'attaque visant Ledger. Des prestataires de conservation assistée comme Casa et Unchained proposent ces configurations aux utilisateurs qui souhaitent être aidés dans leur gestion sans renoncer totalement au contrôle de leurs clés.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

La responsabilité personnelle est difficile à déléguer

Les incidents de cette année devraient inciter les détenteurs de cryptomonnaies à revoir la manière dont ils sécurisent leurs bitcoins et autres actifs numériques. La leçon n'est pas nécessairement que les hardware wallets sont inutiles, mais qu'aucun appareil ni aucune entreprise ne mérite une confiance aveugle.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

La triste réalité est que certaines personnes auraient peut-être intérêt à s'exposer au Bitcoin via un ETF ou une société de trésorerie Bitcoin si elles ne sont pas capables de sécuriser elles-mêmes leurs coins et ne disposent de personne de confiance pour les aider. C'est un message difficile à entendre dans un système conçu, à l'origine, pour supprimer les tiers de confiance. Comme l'a écrit sur X Paul Sztorc, fondateur et PDG de LayerTwo Labs : « Il est difficile de déléguer la responsabilité personnelle. »