Bitcoin : où faut-il conserver ses BTC face aux hacks et exploits ?

Des pertes records sur fond d’attaques multiples

Selon le fournisseur de sécurité crypto CertiK, les pertes brutes cumulées de 2026 atteignaient environ 9,43 milliards de dollars au moment de la rédaction. Le mois d’octobre 2026 a été le plus coûteux jamais enregistré, principalement en raison d’une attaque contre Binance, qui a vu 6,3 milliards de dollars être dérobés, dans ce qui constitue le plus grand piratage crypto connu à ce jour.

Binance a indiqué, avec l’aide d’émetteurs de stablecoins et de partenaires, avoir pu geler environ 2,85 milliards de dollars d’actifs, sous réserve de réconciliation et de variations de prix de marché. La plateforme a également précisé qu’elle assumerait les pertes et, le 3 novembre, elle a dit avoir reconstitué 98 % des actifs tokenisés touchés. À titre de comparaison, le montant volé en 2026 représente une hausse marquée par rapport aux 3,4 milliards de dollars piratés en 2025, selon Chainalysis.

Les plateformes centralisées sont depuis longtemps considérées comme une solution imparfaite pour stocker des actifs numériques sur le long terme. Les cold wallets, aussi appelés portefeuilles matériels, permettent à l’utilisateur de conserver ses clés dans une puce sécurisée, hors ligne. Elles sont généralement vues comme un élément essentiel de la sécurité opérationnelle pour les particuliers comme pour les institutionnels.

Des failles chez les portefeuilles matériels

Mais la confiance dans ces dispositifs a été ébranlée après plusieurs incidents ayant conduit au vol de centaines de millions de dollars en bitcoin et autres actifs. Le plus important a concerné Coldcard, un portefeuille fabriqué par la société canadienne Coinkite. À partir du 30 juillet 2026, des attaquants ont dérobé environ 1 082 BTC, soit environ 86 millions de dollars au moment de la rédaction, depuis plus de 5 000 adresses, à cause d’une faille de firmware.

Des utilisateurs de Ledger ont par ailleurs perdu environ 102 millions de dollars en octobre, selon des analystes onchain, après qu’il est apparu que des appareils authentiques vendus via CryptoBilis, un revendeur agréé en Asie du Sud-Est, avaient été équipés d’implants cachés après leur sortie de Ledger. Ces implants transmettaient les phrases de récupération des utilisateurs aux attaquants.

Dans le cas de Coldcard, la faille remontait à une version du firmware datée de mars 2021. Selon TRM Labs, la génération des seeds s’est alors rabattue sur un générateur de nombres aléatoires logiciel faible au lieu de la source d’entropie matérielle de l’appareil. Le nombre de combinaisons possibles est ainsi passé d’environ 340 trillions trillions trillions à environ un trillion sur les anciens modèles.

Coinkite a depuis publié un nouveau firmware exigeant « une méthode d’entropie fournie par l’utilisateur : au moins 65 pressions de touches avec un timing imprévisible, 50 lancers d’un dé physique à six faces, ou 128 lancers physiques de pièce ». Selon la société, cela améliore la sécurité, mais ne peut pas aider les utilisateurs ayant déjà perdu leurs fonds.

Le multisig comme piste mise en avant

Le secteur met désormais en avant les portefeuilles multisig, c’est-à-dire des solutions qui exigent plusieurs clés indépendantes pour autoriser une transaction. L’idée gagne du terrain, mais le choix de fabricants différents reste crucial.

Pour Paolo Ardoino, l’année a mis en lumière des faiblesses des deux côtés du débat sur la garde des actifs. Sur le Stephan Livera Podcast, il a estimé que les inquiétudes récentes autour de la sécurité des portefeuilles matériels avaient conduit certains acteurs à voir les plateformes centralisées comme une alternative plus sûre.

« Et maintenant, nous avons vu … le piratage de Binance, et la garde centralisée a elle aussi fait l’objet de beaucoup d’examen et d’inquiétudes », a-t-il déclaré. Pour lui, la réponse passe par une meilleure expérience utilisateur autour du multisig. « Ce que je pense que nous devrions faire en tant que Bitcoiners, c’est promouvoir de bien meilleures expériences utilisateur pour les multisigs », a-t-il ajouté.

Bitkey est l’une des tentatives visant à rendre ce modèle plus accessible. Le portefeuille crée une solution Bitcoin uniquement en 2-sur-3 multisig, ce qui signifie que deux des trois clés sont nécessaires pour valider une transaction Bitcoin, selon le site de l’entreprise. L’utilisateur en conserve deux, tandis qu’une troisième est stockée sur le serveur Bitkey.

Pour Ardoino, les incidents de 2026 ne remettent pas en cause la nécessité de l’auto-garde. « Nous sommes une plateforme de trading, nous ne sommes pas une banque », a-t-il dit. « Nous ne devrions pas être une banque, et les gens devraient garder le contrôle de leurs fonds ».