Le fabricant de portefeuilles matériels Bitcoin COLDCARD a lancé une enquête après qu'un message d'hameçonnage non autorisé est apparu sur son compte X officiel le 11 octobre, dirigeant les utilisateurs vers un faux site web de sécurité de portefeuille avant que l'entreprise ne supprime la publication.
Résumé
- COLDCARD a confirmé que son compte X officiel a publié un lien d'hameçonnage, que l'entreprise a ensuite supprimé.
- La fausse publication prétendait signaler des vulnérabilités de firmware et dirigeait les détenteurs de Bitcoin vers de fausses instructions de migration.
- COLDCARD a déclaré qu'elle utilise une authentification à deux facteurs hors ligne et un accès restreint au compte depuis 2017.
- L'entreprise a contacté X après n'avoir trouvé aucun enregistrement de connexion ou de session correspondant, selon les rapports.
- Aucune perte financière vérifiée ni explication confirmée de l'incident du compte n'a été publiquement établie.
COLDCARD a confirmé l'incident dans une déclaration publique, avertissant les clients de ne pas ouvrir le lien suspect ni suivre ses instructions. L'entreprise a déclaré que son compte utilisait une authentification à deux facteurs hors ligne et un accès restreint depuis 2017, tandis que les enquêteurs examinaient comment la publication était apparue. COLDCARD a contacté X et examine les enregistrements d'accès au compte pour établir ce qui s'est passé.
Le fabricant a souligné que son seul site web officiel est coldcard.com et a déclaré qu'il publierait de plus amples informations après avoir vérifié les conclusions.
COLDCARD avertit les utilisateurs après une fausse publication sur la sécurité de Bitcoin
Le message suspect est apparu sur le compte X vérifié de COLDCARD, que l'entreprise utilise habituellement pour communiquer des avis de sécurité, des versions de firmware et des informations sur ses produits.
Selon des rapports publiés le 11 octobre, la publication non autorisée se présentait comme un avertissement urgent concernant une prétendue vulnérabilité affectant la génération de phrases de récupération dans les firmwares plus récents des portefeuilles. Le message aurait demandé aux clients de déplacer leurs avoirs en Bitcoin via un processus de migration de sécurité et les aurait dirigés vers un site web usurpant l'identité de COLDCARD.
Les observateurs de sécurité ont identifié le lien comme une tentative d'hameçonnage conçue pour persuader les propriétaires de portefeuilles de suivre des instructions frauduleuses. Le fonctionnement exact du site web, notamment s'il collectait des phrases de récupération ou distribuait des logiciels malveillants, n'a pas été établi de manière indépendante.
L'entreprise a ensuite supprimé la publication et émis un avertissement public contre la visite du site web lié. Dans sa déclaration, COLDCARD a indiqué : « Nous enquêtons sur la manière dont une publication contenant un lien d'hameçonnage a été publiée depuis ce compte. » Elle a demandé aux clients de ne pas interagir avec le site web pendant que son examen de sécurité se poursuivait.
L'avertissement concerne spécifiquement le message non autorisé sur les réseaux sociaux. L'entreprise n'a pas confirmé de nouvelle vulnérabilité de firmware associée à la publication d'hameçonnage. COLDCARD n'a pas divulgué combien de temps le message frauduleux est resté visible ni combien d'utilisateurs ont pu visiter le site web avant son retrait.
Aucun rapport vérifié établissant des pertes financières directes liées à la tentative d'hameçonnage du 11 octobre n'a été identifié dans les sources examinées.
COLDCARD s'interroge sur la manière dont son compte X a été accédé
L'entreprise a déclaré que son compte officiel s'appuie sur une authentification à deux facteurs hors ligne avec un accès strictement restreint depuis 2017. Dans un message ultérieur adressé au support de X, COLDCARD aurait déclaré qu'elle ne pouvait identifier aucune connexion, session ou enregistrement d'accès correspondant à la publication non autorisée.
Le fabricant a maintenu que ses identifiants et ses mesures d'authentification hors ligne restaient sécurisés sur la base de son examen initial.
Selon un rapport du 11 octobre de TechFlow, COLDCARD a exprimé des inquiétudes quant à la possibilité d'un accès non autorisé impliquant les systèmes internes ou les privilèges administratifs de X. L'entreprise aurait demandé à X d'enquêter sur l'incident et de conserver les enregistrements d'accès pertinents.
Cependant, une compromission au niveau de la plateforme reste une possibilité soulevée par COLDCARD, et non une conclusion établie. Aucune preuve vérifiée n'identifie l'individu ou le groupe responsable de la publication du message.
Les rapports concernant l'incident faisaient référence à des publicités alléguées proposant des comptes administrateurs X sur des marchés souterrains. COLDCARD n'a établi aucun lien entre ces affirmations et la publication d'hameçonnage.
Le fabricant n'a pas annoncé si l'enquête avait révélé un compte d'employé compromis, une intégration abusée ou une autre méthode de publication non autorisée. X n'a pas confirmé publiquement une violation au niveau de la plateforme liée à l'incident COLDCARD dans les sources examinées. L'entreprise a déclaré que des mises à jour vérifiées supplémentaires seraient partagées via ses canaux de communication officiels.
L'avertissement de phishing fait suite à un précédent incident de sécurité du firmware de COLDCARD
Le nouvel avertissement de phishing intervient plusieurs mois après que COLDCARD a divulgué un problème de sécurité distinct concernant la manière dont certains appareils généraient les phrases de récupération des portefeuilles Bitcoin. En juillet 2026, le fabricant a identifié un problème de firmware qui avait affecté le caractère aléatoire utilisé pour générer les informations de récupération.
Selon le registre de sécurité officiel de COLDCARD, certaines versions précédentes du firmware n'utilisaient pas la source de caractère aléatoire matérielle prévue lors de la création des graines de portefeuille. L'entreprise a publié un firmware corrigé pour les appareils pris en charge et a demandé aux clients concernés de suivre ses procédures officielles de récupération et de migration.
Des reportages antérieurs sur la défaillance de sécurité du portefeuille Bitcoin COLDCARD ont lié cette faiblesse à des vols de cryptomonnaies impliquant des portefeuilles créés avec des informations de récupération insuffisamment aléatoires.
Une analyse distincte de la vulnérabilité du firmware COLDCARD a discuté des pertes estimées à environ 116 millions de dollars liées au problème de sécurité initial. Ces estimations historiques sont distinctes de l'incident de phishing du 11 octobre.
Le fabricant a déclaré que ses versions standard de firmware actuellement recommandées sont la 5.6.3 pour les appareils Mk4 et Mk5, et la 1.5.3Q pour le modèle Q. La documentation publiée de COLDCARD explique que l'installation du firmware corrigé ne répare pas automatiquement une phrase de récupération générée à l'aide d'un logiciel plus ancien vulnérable. Les clients dont les phrases de récupération sont concernées doivent suivre le processus de remplacement approprié décrit dans les directives officielles.
Le message de phishing d'octobre aurait utilisé les inquiétudes concernant la sécurité du firmware pour encourager une autre migration de portefeuille.
Cependant, COLDCARD n'a pas lié l'incident des médias sociaux à une nouvelle vulnérabilité dans ces versions de firmware corrigées. La distinction est importante pour les directives officielles de l'entreprise : le problème antérieur de génération de graines a été documenté, tandis que le message du 11 octobre a été identifié comme non autorisé et potentiellement malveillant.
Des recherches antérieures ont trouvé de faux sites Web et comptes de support COLDCARD
Des chercheurs indépendants avaient documenté des tentatives d'usurpation d'identité de COLDCARD après que le problème initial de firmware a été rendu public.
Le 5 août, le groupe de recherche en cybersécurité Unclone a rapporté avoir trouvé dix domaines ressemblants enregistrés dans les cinq jours suivant la divulgation de sécurité de juillet. Son enquête a examiné l'activité d'usurpation d'identité sur les sites Web, les comptes de médias sociaux et les canaux de support client.
Les chercheurs ont identifié des sites Web frauduleux utilisant un langage similaire à l'avis de sécurité légitime de l'entreprise.
Certaines pages auraient tenté de collecter des informations de récupération auprès d'utilisateurs qui croyaient suivre les instructions officielles. Unclone a examiné 97 comptes utilisant l'image de marque liée à COLDCARD ou Coinkite sur les plateformes sociales.
Parmi eux, 34 se présentaient comme des représentants du support ou des employés de l'entreprise. Les chercheurs ont constaté que plusieurs comptes d'usurpation d'identité existaient depuis des années avant d'adopter l'image de marque liée à COLDCARD, ce qui leur permettait de paraître plus établis que les profils d'arnaque nouvellement créés.
Dans certains cas, les attaquants auraient présenté de fausses instructions de migration comme une assistance aux personnes répondant à l'avertissement initial du firmware. Les instructions officielles actuelles de configuration de COLDCARD stipulent que les mots de récupération et les mots de passe de sauvegarde ne doivent jamais être saisis dans un autre appareil ni exposés via des sites web et des messages d'assistance.
Le fabricant conseille aux clients de vérifier les téléchargements de firmware et d'utiliser les procédures de sécurité propres à l'appareil lors de la génération ou du remplacement des informations de récupération du portefeuille. Sa déclaration du 11 octobre a réaffirmé que coldcard.com est le seul site web officiel de l'entreprise.
