Coldcard : des acheteurs poursuivent Coinkite à Toronto et allèguent un avertissement ignoré en 2025

Un propriétaire de Coldcard a déposé une action collective projetée contre Coinkite, le fabricant torontois du portefeuille matériel pour bitcoin, et contre ses deux cofondateurs, Rodolfo Novak et Peter D. Gray. La demande introductive d’instance (« statement of claim »), délivrée le 11 septembre 2026 devant la Cour supérieure de justice de l’Ontario sous le numéro CV-26-00018158, est apparue dans la presse le 22 octobre, quand Bitcoin.com News et Cryptopolitan l’ont relayée. Selon la demande, Coinkite aurait été avertie de failles dans ses appareils en mai 2025, plus d’un an avant que des voleurs ne commencent à vider des portefeuilles Coldcard, le 30 juillet 2026.

Rien dans la demande n’est prouvé. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il s’agit de la version des faits du demandeur, le groupe n’a pas été autorisé (certifié) par un juge et nous n’avons vu aucune défense déposée. Coinkite et ses fondateurs sont présumés avoir agi de bonne foi tant qu’un tribunal n’en a pas décidé autrement. Nous n’avons trouvé aucune réponse de Coinkite à la poursuite ; Bitcoin.com indiquait que l’entreprise n’avait pas réagi au moment de la publication.

Les vols, eux, ne sont pas contestés. Une erreur de compilation a conduit certains modèles de Coldcard à créer leurs mots de récupération à partir d’un générateur de nombres aléatoires logiciel faible, et des attaquants ont reconstitué les clés privées à partir de ces graines devinables. Le montant dérobé est moins clair. Les décomptes publiés sont passés de plus de 88 millions de dollars deux jours après le début des vols à environ 112 millions de dollars confirmés par Galaxy Research à la mi-août, et la demande chiffre à plus de 140 millions de dollars les pertes des membres du groupe.

Action collective Coldcard contre Coinkite : ce que la demande allègue

Le demandeur principal est Amir Reza Naderi, résident de Los Angeles qui, selon la demande, a acheté une Coldcard Mk3 sur le site de Coinkite vers le 2 mars 2022. La demande affirme que le 6 août 2026, 1,22940052 BTC répartis sur sept adresses de son portefeuille ont été déplacés à son insu, soit la totalité des bitcoins protégés par l’appareil, d’une valeur d’environ 79 764 $ ce jour-là. Ses avocats sont le cabinet Foreman & Company, établi à London, en Ontario.

Les défendeurs sont Coinkite Inc., dont l’adresse se situe sur Yonge Street à Toronto, et ses cofondateurs Novak et Gray. La demande décrit les deux hommes comme les seuls administrateurs et dirigeants de l’entreprise, et Gray comme son directeur technique.

Le groupe proposé est large. Il couvrirait « toutes les personnes qui, à des fins personnelles, familiales ou domestiques, ont acheté auprès de Coinkite une COLDCARD de modèle MK2, Mk3, Mk4, Mk5 ou Q ». Rien dans cette formulation ne le limite aux Canadiens, ce qui compte pour les acheteurs des États-Unis et d’Europe, mais ils ne deviennent membres du groupe que si un juge le certifie.

Le demandeur prie le tribunal d’autoriser l’action collective et de déclarer que Coinkite a enfreint la Loi de 2002 sur la protection du consommateur de l’Ontario (« Consumer Protection Act, 2002 ») ainsi que les conditions implicites de la Loi sur la vente d’objets (« Sale of Goods Act »). Il réclame aussi une déclaration selon laquelle les conditions de vente de Coinkite, qui limitent la responsabilité de l’entreprise et renvoient certains litiges à l’arbitrage, violent le droit de la consommation. S’y ajoutent des dommages-intérêts pour négligence et pour manquement au contrat et à la garantie, la résolution des achats ou des dommages-intérêts en tenant lieu, des dommages-intérêts punitifs, une fiducie de litige, un programme d’avis aux membres du groupe, les intérêts et les dépens. Aucune somme par acheteur n’est avancée.

Les allégations de fait partent du propre récit de l’entreprise sur le bogue, puis vont plus loin. Selon la demande, une mise à jour du firmware vers mars 2021 a fait utiliser aux appareils le générateur logiciel Yasmarang à la place du générateur matériel. Elle allègue que les vols ont commencé vers le 30 juillet 2026 et qu’une première série de transferts a emporté environ 594 BTC, soit quelque 38 millions de dollars, en 25 minutes environ. Elle soutient aussi que Coinkite disposait des coordonnées de ses acheteurs mais n’a fait aucun effort pour les contacter directement, en s’appuyant sur des avis publics.

L’avertissement de mai 2025 : le récit de la demande face à celui de Coinkite

L’accusation la plus grave figure aux paragraphes 73, 77 et 111 de la demande. Elle affirme qu’en mai 2025, James O’Beirne, présenté comme un ingénieur bitcoin, a indiqué à Coinkite et aux deux fondateurs qu’il avait « identifié le Défaut et d’autres failles dans l’architecture de sécurité du produit », et leur a transmis un rapport. Gray, en tant que directeur technique, aurait reçu ce rapport ou participé à son traitement. Le paragraphe 29 va plus loin et prétend que les deux fondateurs avaient une connaissance personnelle directe de la faille depuis mai 2025 au moins.

Ce sont des allégations. « Le Défaut » est l’étiquette que la demande donne elle-même à la faille de génération des graines : le demandeur soutient donc que le rapport couvrait ce bogue. Mais le rapport n’a pas été publié, rien dans les sources que nous avons lues n’indique ce qu’il disait, et nous n’avons trouvé aucune déclaration publique de O’Beirne. L’article de Cryptopolitan sur la poursuite ne le nomme pas ; celui de Bitcoin.com, si.

Le récit de Coinkite est différent. Dans son dossier technique publié le 30 juillet, l’entreprise écrivait : « Nous ignorions l’existence du bogue jusqu’à aujourd’hui. » Elle disait devoir « supposer que quelqu’un a utilisé l’IA pour examiner d’anciennes versions de notre firmware » et y a trouvé le problème. Coinkite ajoutait qu’un examen récent de son propre code assisté par IA « n’a trouvé ni ce bogue ni rien de grave ».

Les deux versions ne peuvent pas être entièrement exactes. Savoir si Coinkite savait, ou aurait dû savoir, est ce qu’un tribunal devrait trancher si l’affaire va jusqu’au procès.

La faille Coldcard : une erreur de compilation a rendu les graines devinables

Le rôle d’un portefeuille matériel est de créer une phrase de récupération que personne ne puisse deviner, à l’aide d’un véritable générateur de nombres aléatoires intégré à la puce. D’après l’avis de sécurité de Coinkite et son dossier technique, les Coldcard concernées se sont appuyées à la place sur Yasmarang, le générateur pseudo-aléatoire généraliste fourni avec MicroPython, le langage dans lequel tourne le firmware.

Le dossier technique explique comment l’erreur est passée. Le repli sur Yasmarang a été ajouté à MicroPython en amont en mai 2018. Une garde devait interrompre la compilation si le générateur matériel manquait, mais elle utilisait #ifndef, qui teste si un paramètre est défini et non s’il est activé. Le paramètre était défini : le contrôle a donc été validé. Le repli est arrivé dans la génération des graines de la Coldcard en mars 2021, lorsque le firmware est passé à la bibliothèque libNgU de Coinkite.

Le résultat est un nombre de graines possibles bien plus réduit. Une graine doit porter au moins 128 bits d’aléa. L’estimation préliminaire de Coinkite situe l’espace de recherche effectif à environ 40 bits sur les Mk2 et Mk3, et à environ 72 bits sur les Mk4, Mk5 et Q, où de l’entropie supplémentaire issue des éléments sécurisés joue un rôle. Quarante bits représentent environ 1,1 billion de possibilités (1,1 × 10¹²), un nombre que les vols montrent à la portée d’un attaquant.

C’est pourquoi Coinkite insiste sur le fait que ses appareils n’ont pas été piratés. « Les appareils COLDCARD eux-mêmes n’ont pas été piratés, consultés à distance ni pris en main », indique l’avis. Les attaquants n’ont jamais touché les portefeuilles. Ils ont travaillé hors ligne, généré des graines candidates, dérivé les adresses correspondantes et vidé celles qui contenaient des bitcoins.

Quels modèles et quels firmwares Coldcard sont touchés

L’avis dresse la liste suivante des graines concernées. Les firmwares Edge et standard forment deux filières distinctes : une ancienne version Edge 6.x n’est donc pas corrigée du simple fait que son numéro est plus élevé. TAPSIGNER, OPENDIME et SATSCARD reposent sur un autre code et ne sont pas touchés.

• Graines Mk2 et Mk3 générées sur les firmwares 4.0.1 à 4.1.9, le cas le plus grave. Corrigé à partir de la 4.2.0.
• Graines Mk4 et Mk5 standard générées avant la 5.6.0, et graines Edge générées avant la 6.6.0X. Corrigé à partir de la 5.6.0 et de la 6.6.0X.
• Graines Q standard générées avant la 1.5.0Q, et Q Edge avant la 6.6.0QX. Corrigé à partir de la 1.5.0Q et de la 6.6.0QX.

Selon la demande, la première annonce de Coinkite, le 30 juillet, ne nommait que les Mk2 et Mk3, un firmware correctif a suivi le 31 juillet (Bitcoin.com donne la même date), et vers le 1^er août l’avertissement a été étendu aux Mk4, Mk5 et Q. CoinDesk a rapporté le 21 août que Coinkite avait ensuite publié le firmware 5.6.1 pour les Mk4 et Mk5 et le 1.5.1Q pour la Q. Ces versions remplacent Yasmarang par un générateur fondé sur SHA-256, exigent un aléa fourni à la main pour les nouvelles graines (65 pressions de touches à intervalles imprévisibles, 50 lancers de dé ou 128 tirages à pile ou face) et revérifient une transaction juste avant de la signer.

Combien de bitcoins ont été volés sur les portefeuilles Coldcard

Aucun chiffre de perte totale n’est officiel, et les pages de Coinkite n’en donnent aucun. Les chiffres ci-dessous viennent de sources différentes à des dates différentes, et certains ne couvrent que la première vague. Les valeurs en dollars dépendent du cours du bitcoin retenu par chaque source.

Les deux chiffres de la première vague ne concordent pas. Les 594 BTC de la demande représentent un peu plus de la moitié des 1 082,65 BTC que Galaxy Research a tracés sur la blockchain en 41 minutes, aux petites heures du 30 juillet. Aucune des deux sources n’explique l’écart, et nous n’avons pas pu l’établir.

Le décompte ultérieur de Galaxy, rapporté par Decrypt le 14 août, a relevé trois vagues confirmées et 41 empreintes plus petites, aucune après le 6 août, avec plus de 5 200 adresses vidées. Galaxy indiquait qu’environ 1 531 BTC restaient immobiles sur des adresses contrôlées par les attaquants.

Certains titres ont dit que la faille avait « exposé » des fonds. C’est minimiser : des bitcoins ont été pris dans de vrais portefeuilles. Les graines générées sur un firmware concerné qui contiennent encore des bitcoins restent à risque.

La traque du voleur, sans arrestation à ce jour

CoinDesk rapportait le 21 août que, selon Coinkite, les forces de l’ordre poursuivaient leur enquête et que l’entreprise restait disponible pour les aider. Nous n’avons trouvé aucune mention d’une arrestation ou d’une saisie.

Bitcoin Magazine a rapporté le 18 août que Clay Garrett, responsable d’ingénierie chez Block, l’entreprise de paiement, a écrit le 31 juillet que l’auteur de la première vague avait utilisé un compte payant chez un fournisseur de services blockchain. Garrett disait n’avoir vu aucune preuve que ce fournisseur ait participé en connaissance de cause. C’est une piste des analystes de Block, pas une identification, et aucune autorité n’a désigné de suspect. Block et le chercheur LLFOURN ont aussi publié des analyses techniques de la faille, que Coinkite renvoie dans son dossier technique.

Faille Coldcard : que faire si vous possédez une Coldcard, selon Coinkite

Cette section résume l’avis de sécurité officiel de Coinkite. Les fonds ne sont à risque que si deux conditions sont réunies : la graine a été créée sur un firmware concerné sans au moins 50 lancers de dé équitables, indépendants et privés, et le portefeuille n’est pas protégé par une phrase secrète BIP-39 forte et unique. La phrase secrète n’est pas le code PIN de la Coldcard.

Les dés changent la donne. Selon l’avis, 50 à 98 lancers apportent à eux seuls au moins 128 bits d’aléa, et 99 lancers ou plus environ 256 bits. Avec moins de 50 lancers, ou si vous ne vous en souvenez pas, suivez les étapes de migration.

Une mise à jour du firmware ne suffit pas. « Mettre à jour le firmware ne modifie ni ne répare une graine existante », écrit Coinkite. L’avis prévoit les étapes suivantes, dans cet ordre, qui rejoignent la logique de notre guide pour configurer un portefeuille matériel :

1. Confirmer que la version corrigée du firmware est installée.
2. Générer une nouvelle graine sur la Coldcard mise à jour.
3. Noter et vérifier sa sauvegarde avant d’y déposer des fonds.
4. Vérifier sur l’écran de la Coldcard une nouvelle adresse de réception.
5. Envoyer une petite transaction de test et confirmer que le nouveau portefeuille fonctionne.
6. Seulement ensuite, déplacer le reste des fonds.
7. Conserver l’ancienne sauvegarde jusqu’à ce que la migration soit terminée et confirmée.

Coinkite a demandé aux propriétaires de ne télécharger le firmware que depuis sa page de téléchargement officielle, a rapporté CoinDesk. Les propriétaires dont le seul appareil est une Mk2 ou une Mk3 disposent d’une procédure distincte : vérifier l’ancienne sauvegarde, passer à la 4.2.0, créer et vérifier une nouvelle graine sur l’appareil vidé, puis restaurer l’ancienne graine le temps d’envoyer un petit paiement de test et, une fois celui-ci arrivé, le reste. Les utilisateurs d’une phrase secrète ne sont pas déclarés à l’abri pour toujours : « Même avec une phrase secrète forte, migrez vers une graine nouvellement générée dès que possible. »

L’avis met aussi en garde contre la panique. « Se précipiter dans une migration de portefeuille peut créer un risque plus immédiat que le problème que vous essayez de traiter », dit-il.

Une remarque de notre part, qui ne vient pas de Coinkite : ne saisissez jamais une phrase de récupération sur un site web et ignorez les messages qui proposent de retrouver des bitcoins volés. Notre guide sur la sécurité de la phrase de récupération explique comment conserver la nouvelle sauvegarde.

Quand un aléa trop faible a déjà vidé des portefeuilles

Coldcard n’est pas le premier cas de clés fabriquées avec trop peu d’aléa. En septembre 2022, une faiblesse de Profanity, un outil répandu pour générer des adresses Ethereum « personnalisées », était à l’origine de la perte de 162,2 millions de dollars annoncée le 20 septembre par le teneur de marché Wintermute, selon une analyse de la société de conservation Safeheron.

En juin et juillet 2023 est venu Milk Sad. La commande bx seed de Libbitcoin Explorer, versions 3.0.0 à 3.6.0, employait un générateur Mersenne Twister qui limitait son entropie interne à 32 bits. La faille, répertoriée sous la référence CVE-2023-39910, a été exploitée dans la nature durant ces deux mois, selon la National Vulnerability Database américaine.

Ce mois-ci, Qubic a redémarré sa chaîne après que des attaquants ont vidé des portefeuilles protégés par des graines faibles ; nous avons couvert le vol des graines faibles de Qubic et son processus de réclamation. Le mécanisme est le même à chaque fois. Dès que l’aléa est prévisible, les codes PIN et les puces sécurisées ne comptent plus, puisque l’attaquant recalcule les clés à partir de zéro.

Ce qui distingue le cas Coldcard, c’est l’appareil. Les portefeuilles matériels sont vendus comme la forme la plus sûre d’autoconservation, et peu d’acheteurs vérifient comment la graine est fabriquée. Plus tôt ce mois-ci, l’inquiétude autour de Ledger portait sur une altération physique, comme dans notre article sur les appareils Ledger trafiqués. Ici, les portefeuilles n’ont pas été touchés et la faille se trouvait dans le code.

Ce qui attend l’action collective à Toronto

Selon l’avis joint à la demande, un défendeur signifié en Ontario dispose de 20 jours pour déposer une défense, de 40 jours s’il est signifié ailleurs au Canada ou aux États-Unis, et peut gagner 10 jours de plus en déposant un avis d’intention de se défendre. Nous n’avons vu aucune défense ni aucune date pour une requête en certification. La certification est le premier vrai obstacle : un juge doit reconnaître que l’affaire se prête à une action collective avant que quiconque en dehors du demandeur principal soit lié par le résultat.

Les conditions de vente seront un champ de bataille précoce. La demande affirme qu’elles limitent la responsabilité de Coinkite et imposent l’arbitrage pour certains litiges, et prie le tribunal de les déclarer invalides au regard du droit ontarien de la consommation. Si elles tiennent, les acheteurs pourraient être orientés vers un arbitrage individuel plutôt que vers une action de groupe.

Pour les acheteurs français et européens, l’adresse californienne du demandeur principal montre que l’affaire n’est pas réservée aux Canadiens : le groupe est défini par l’achat auprès de Coinkite, sans limite de nationalité. Reste que l’entrée d’acheteurs étrangers dans le groupe dépend de la certification, que nous n’avons trouvé aucune prise de position de l’AMF sur ce dossier, et que la loi ontarienne s’appliquerait à la procédure, pas la loi française. Les victimes, où qu’elles soient, peuvent conserver une trace des transactions de vol et les signaler à la police ; c’est notre suggestion, pas le conseil d’un régulateur, et le traitement fiscal des pertes par vol diffère selon les pays.

La prochaine étape publique sera la réponse de Coinkite, devant le tribunal ou par communiqué. D’ici là, l’avertissement de mai 2025 reste une allégation du demandeur, et la position publiée de Coinkite est qu’elle a appris l’existence du bogue le 30 juillet 2026.