Coinkite poursuivi: faille Coldcard, 140 M$ en bitcoins exposés

Une faille de sécurité de Coldcard à l’origine d’un recours collectif de 140 millions de dollars

Un recours collectif déposé le 11 septembre 2026 devant la Cour supérieure de justice de l'Ontario désigne comme défendeurs la société Coinkite Inc., basée à Toronto, ainsi que ses cofondateurs Rodolfo Novak et Peter D. Gray. Le plaignant, Amir Reza Naderi, résidant à Los Angeles, allègue qu’une mise à jour défectueuse du micrologiciel publiée en mars 2021 a compromis la sécurité des portefeuilles Coldcard pendant plus de cinq ans.

La plainte indique que les appareils présentaient une faille qui « remettait en cause l’objectif et le fonctionnement mêmes de l’appareil ». Les portefeuilles Coldcard sont conçus pour protéger les bitcoins en générant des phrases de récupération secrètes, communément appelées « phrases de départ ». Ces mots permettent aux propriétaires de récupérer leurs fonds en cas de perte ou de détérioration de leur appareil.

Mais la plainte allègue que le logiciel générait des phrases prévisibles au lieu de phrases véritablement aléatoires, permettant ainsi à des pirates de recréer des clés privées sans être physiquement en possession des portefeuilles.

Une erreur de firmware, des milliers de portefeuilles vulnérables

Le problème présumé trouverait son origine dans une « erreur d’intégration de compilation et de liaison » qui a conduit les appareils concernés à utiliser le générateur logiciel Yasmarang de Micropython au lieu du générateur de nombres aléatoires matériel prévu. En clair, les appareils auraient créé des codes de sécurité bien plus faciles à deviner que ce qui avait été promis aux clients.

Les pirates ont commencé à exploiter cette faille le 30 juillet 2026, volant, selon les allégations, environ 594 BTC, d’une valeur de 38 millions de dollars, en seulement 25 minutes. Les vols qui ont suivi ont porté le montant estimé des pertes dans le cadre de cette action en justice à plus de 140 millions de dollars. M. Naderi affirme avoir personnellement perdu 1,22940052 BTC, d'une valeur d'environ 79 764 dollars, à la suite de virements non autorisés effectués le 6 août.

La plainte allègue également que l’ingénieur spécialisé dans le bitcoin James O’Beirne avait averti Coinkite de cette vulnérabilité en mai 2025, soit plus d’un an avant le début des vols.

Les plaignants réclament des dommages-intérêts alors que Coinkite fait l’objet d’une enquête

Le fabricant de portefeuilles cryptographiques Coinkite a rendu publique cette faille de sécurité le 30 juillet et a publié un micrologiciel correctif le lendemain. Cependant, la simple installation du logiciel mis à jour ne suffisait pas à protéger les phrases de récupération générées précédemment. Les clients devaient également en créer de nouvelles et transférer leurs bitcoins. La plainte fait valoir que Coinkite a omis d’informer directement les clients concernés alors qu’elle disposait de leurs coordonnées.

Elle conteste également les limitations de responsabilité contractuelles de l’entreprise, en alléguant que les lois sur la protection des consommateurs prévalent sur les dispositions restreignant les actions en justice et l’indemnisation. Le recours collectif proposé concerne les acheteurs à usage personnel des appareils Coldcard Mk2, Mk3, Mk4, Mk5 et Q. Les plaignants réclament des dommages-intérêts compensatoires, des dommages-intérêts punitifs et d’autres mesures de réparation.

L'affaire reste au stade de proposition de recours collectif, et ses allégations n'ont pas encore été établies devant le tribunal. Aucun dédommagement n'a été accordé. Pour les clients concernés, la question centrale est de savoir si une entreprise vendant une protection contre le vol de bitcoins peut être tenue financièrement responsable lorsque son propre logiciel de sécurité aurait ouvert la porte à ce vol.

Bitcoin.com News a contacté Coinkite pour obtenir des commentaires concernant le procès et ses allégations. La société n’avait pas répondu au moment de la publication, mais toute déclaration reçue par la suite sera ajoutée à cet article.