Entropie de la phrase de récupération : comment vérifier que votre portefeuille en possède réellement

3 août 2026

Seed Entropy: How to Check Whether Your Wallet Actually Has It

À retenir : La solidité d’une phrase de récupération dépend uniquement de la véritable aléa présent au moment de sa création, et une mise à jour du micrologiciel ne peut pas restaurer cet aléa par la suite. Le cas Coldcard de 2026 l’a montré : une erreur de compilation a redirigé la génération des graines vers une formule logicielle au lieu de la source de bruit physique de la carte, si bien que des phrases d’apparence ordinaire étaient suffisamment limitées pour être devinées. Cette page explique comment déterminer d’où provient l’aléa de votre propre portefeuille.

Référence rapide

Terme	Ce que cela signifie
Entropie	Le caractère imprévisible recueilli au moment de la création d’une graine, mesuré en bits. Une phrase de 12 mots vise 128 bits, et une phrase de 24 mots vise 256 bits.
Phrase de récupération (BIP39)	Les 12 à 24 mots qui encodent cette entropie. Chaque clé privée et chaque adresse du portefeuille sont dérivées de ces mots.
PRNG (générateur de nombres pseudo-aléatoires)	Logiciel qui produit une sortie d’apparence aléatoire en appliquant une formule à partir d’une valeur initiale. Si l’on retrouve la valeur initiale, toute la séquence en découle.
TRNG (générateur de nombres véritablement aléatoires)	Matériel qui échantillonne des bruits physiques, comme le bruit thermique des circuits ou la gigue d’horloge. Il n’existe aucune valeur initiale à retrouver ni aucune séquence à reproduire.
Espace de recherche	Le nombre de graines candidates qu’un attaquant devrait tester. Un nombre comme 40 bits ou 72 bits décrit la taille de cet espace.
Élément sécurisé	Une puce certifiée qui conserve les clés et effectue la signature en son sein, séparée du processeur principal de l’appareil.

Que s’est-il passé dans le cas de Coldcard ?

Le 30 juillet 2026, Galaxy Research a relevé un schéma inhabituel de transferts de bitcoins. En l’espace de 41 minutes, 1 196 adresses ont été vidées et environ 1 083 BTC ont été transférés. Chaque transaction appliquait le même taux de frais de 30 satoshis par octet virtuel, aucune ne produisait de sortie de monnaie, et seuls les chemins de dérivation par défaut ont été balayés, c’est-à-dire les chemins d’adresses standard utilisés par un portefeuille, sauf modification par le propriétaire. Un tel niveau de cohérence indique l’utilisation d’un outil automatisé parcourant une liste préparée, plutôt qu’une série de compromissions distinctes.

L’opération de balayage a eu lieu environ 30 heures avant que le fabricant ne publie quoi que ce soit ; les personnes qui vidaient les adresses avaient donc découvert la faille les premières. Chainalysis a ensuite décrit le ciblage comme délibéré plutôt qu’aléatoire : les soldes les plus importants ont été pris en premier, et plus de 30 millions de dollars américains ont été récoltés dans les dix premières minutes.

Le même jour, le fabricant canadien de portefeuilles matériels Coinkite a publié un avis de sécurité confirmant un défaut de génération de nombres aléatoires au niveau du micrologiciel des appareils Coldcard. En termes simples, l’appareil était censé tirer l’aléa nécessaire à une nouvelle graine d’un générateur de bruit dédié situé sur sa propre carte, mais il le tirait à la place d’une formule logicielle dont la valeur initiale se trouvait dans une plage restreinte et prévisible. Cela a réduit suffisamment l’ensemble des graines possibles pour permettre à quelqu’un de générer des candidats hors ligne, d’en dériver les adresses correspondantes et de les vérifier sur la blockchain publique. Aucun accès physique à un appareil n’a été nécessaire à aucun moment et, si vous cherchez à déterminer si une combinaison donnée de modèle et de micrologiciel se trouve dans la plage divulguée, notre page de vérification de l’entropie des graines vous guide étape par étape.

Modèle	Micrologiciel concerné	Espace de recherche indiqué	Version corrigée
Mk2 et Mk3	4.0.1 à 4.1.9	Environ 40 bits	4.2.0
Mk4 et Mk5	Versions antérieures au correctif	Environ 72 bits	5.6.0 standard, 6.6.0X Edge
Q	Versions antérieures au correctif	Environ 72 bits	1.5.0Q standard, 6.6.0QX Edge
Tapsigner, Opendime, Satscard	Déclaré non concerné	Sans objet	Base de code distincte

Qu’est-ce qui s’est exactement mal passé dans le code ?

Selon le propre compte rendu technique de Coinkite, le défaut remonte à une migration du code effectuée en mars 2021, lorsque les opérations sur les courbes elliptiques sont passées d’une implémentation interne à libsecp256k1 de Bitcoin Core par l’intermédiaire de la bibliothèque libngu. Lors de cette migration, l’appel utilisé pour générer la graine est passé de ckcc.rng_bytes(), qui accède au générateur matériel, ngu.random.bytes().

Le second appel aboutissait à Yasmarang, un générateur logiciel de nombres pseudo-aléatoires intégré à MicroPython, au lieu du véritable générateur matériel de nombres aléatoires STM32 de la carte. L’analyse publiée du défaut décrit ce générateur logiciel comme démarrant à partir de valeurs telles que l’identifiant de l’appareil et l’état du minuteur, qui se situent tous deux dans une plage qu’un attaquant peut parcourir. La cause était une condition du préprocesseur écrite avec #ifndef, qui vérifie si une macro est définie plutôt que la valeur qu’elle contient. La macro était définie avec la valeur 0, c’est-à-dire désactivée ; la condition l’a donc considérée comme présente et l’échec de compilation qui aurait dû détecter l’erreur ne s’est pas produit.

Combien a été dérobé, et dans quelle mesure ces chiffres sont-ils fiables ?

Deux réserves s’appliquent à tout chiffre cité ici. Les estimations de 40 et 72 bits correspondent à l’espace de recherche selon certaines hypothèses, et s’apparentent davantage à un nombre maximal d’énumérations qu’à une valeur d’entropie mesurée ; les chiffres réels sont probablement bien inférieurs à ces limites supérieures. Par ailleurs, le périmètre décrit dans l’avis officiel ne correspond pas exactement à celui suggéré par l’analyse indépendante du code source ; l’absence d’un produit dans un avis ne constitue donc pas, à elle seule, une garantie de sécurité.

Les totaux ont évolué tous les quelques jours. Au 4 août 2026, Galaxy Research comptabilisait trois vagues principales ainsi que 14 incidents de moindre ampleur, avec un niveau de confiance élevé concernant environ 1 596 BTC drainés depuis quelque 7 300 adresses. En comptant une autre vague présumée, ce chiffre se rapproche de 2 055 BTC, et des informations publiées ultérieurement au début du mois d’août ont de nouveau fait grimper le total cumulé. Il s’agit d’estimations indépendantes effectuées sur la chaîne, et non d’un décompte officiel ; elles étaient encore révisées à la hausse au moment de la rédaction de cet article, et tout total unique doit être considéré comme provisoire. Environ 90 % des pièces dérobées n’avaient pas bougé des adresses destinataires à ce moment-là.

Coinkite a divulgué le défaut lui-même, déployé un micrologiciel corrigé sur toutes les gammes de modèles en deux jours, détruit les unités en attente d’expédition qui embarquaient le micrologiciel concerné et envoyé aux clients un courriel contenant des instructions de migration. Aucune de ces mesures ne peut atteindre une phrase qui existe déjà, raison pour laquelle le remède pour une graine concernée est une migration plutôt qu’une mise à jour.

Pourquoi une mise à jour du micrologiciel ne peut-elle pas corriger une graine qui existe déjà ?

Un défaut de ce type produit un nombre compromis plutôt qu’un appareil compromis. La chaîne va du générateur au moment de la génération, puis à votre graine, et enfin aux clés privées et aux adresses qui en sont dérivées. Le micrologiciel constitue l’étape de génération intermédiaire. Votre graine est la sortie que cette étape a déjà produite, une valeur fixe qui a quitté le processus à cet instant et existe désormais indépendamment.

Une mise à jour du micrologiciel reconnecte le générateur à la source matérielle ; les graines créées à partir de ce moment sont donc correctement générées. La mise à jour ne peut pas remonter dans le temps pour agir sur une valeur produite des années auparavant. La faiblesse réside désormais dans le nombre lui-même, raison pour laquelle la correction durable consiste à créer une nouvelle graine plutôt qu’à corriger l’appareil.

La même logique explique pourquoi un code PIN robuste, un boîtier scellé ou un élément sécurisé certifié ne comble pas cette faille particulière. Ces mesures protègent un appareil qu’il faut atteindre. Une graine devinable est attaquée depuis la blockchain publique, sans que personne ait à toucher au matériel.

Comment l’entropie peut-elle être défaillante sans que personne ne s’en aperçoive ?

Ce défaut est passé inaperçu pendant des années, car les tests fonctionnels et la sécurité cryptographique examinent deux propriétés différentes. Une suite de tests s’intéresse à l’apparence de la sortie, tandis que la sécurité dépend de la possibilité de prédire cette sortie ; la première mesure ne peut pas déceler la seconde.

Un contrôle statistique de l’aléatoire pose un ensemble précis de questions, et un générateur logiciel déterministe répond à chacune d’elles de manière acceptable :

Équilibre entre les uns et les zéros. Un PRNG produit une répartition équilibrée.
Répartition des valeurs d’octets. Elle est également uniforme sur toute la plage.
Répétition. La sortie ne reste pas bloquée sur une seule valeur répétée.
Différence entre nombres consécutifs. C'est le contrôle d'intégrité précis effectué par Coldcard, et tout PRNG fonctionnel le réussit sans difficulté.
La suite Diehard, une batterie bien connue de tests statistiques de l'aléa. L'auteur de Yasmarang a déclaré que le générateur la réussissait.

La prévisibilité ne laisse aucune trace dans les statistiques superficielles, car un générateur déterministe peut produire une sortie statistiquement irréprochable tout en étant reproductible par quiconque connaît son état interne. Avoir l'air aléatoire est une apparence externe, tandis qu'être imprévisible est une propriété cryptographique ; les tests visant la première ne permettent pas de vérifier la seconde.

Un point connexe est important lors de la lecture de la documentation du fournisseur. Mélanger ou hacher deux flux déterministes ne crée pas d'imprévisibilité physique. Combiner des sources améliore la distribution des résultats, et si chaque entrée est calculable, le résultat le reste aussi. L'entropie doit provenir quelque part d'un processus physique, et un schéma montrant plusieurs flèches qui convergent ne prouve pas que ce soit le cas.

Quelle est votre situation ?

L'exposition à un défaut de ce type dépend des conditions dans lesquelles la phrase a été créée, et non de la date d'achat du matériel. Les lignes ci-dessous couvrent les cas pour lesquels les utilisateurs nous écrivent réellement.

Votre situation	Ce que cela signifie
La seed a été générée sur un modèle concerné, avec un firmware appartenant à la plage divulguée	Considérez la phrase comme compromise et passez à une nouvelle seed. Le solde est accessible à toute personne effectuant la même recherche de possibilités.
La seed a été générée ailleurs puis importée sur l'appareil	Une phrase importée dépend de ce qui l'a produite à l'origine ; ce défaut particulier ne la concerne donc pas. La question se déplace vers l'outil qui l'a générée.
Des lancers de dés supplémentaires ont été ajoutés lors de la génération sur l'appareil concerné	L'avis traite ce cas séparément, car ces lancers ont apporté une part d'aléa que le chemin logiciel ne contrôlait pas. Vérifiez le nombre utilisé par rapport à l'avis du fabricant au lieu de faire des suppositions.
Une phrase secrète BIP39 forte est utilisée par-dessus la seed	La phrase secrète augmente considérablement le coût d'une attaque contre une seed faible, sans réparer la seed sous-jacente. Considérez-la comme du temps gagné pour effectuer une migration.
La clé concernée fait partie de plusieurs clés dans une configuration multisig	Un attaquant qui détient une clé faible a encore besoin des autres, l'exposition immédiate est donc moindre. La clé faible doit tout de même figurer sur la liste de remplacement.
La version du firmware au moment de la création ne peut pas être déterminée rétrospectivement	Considérez cette incertitude comme le résultat. Une phrase ne contient aucune trace des conditions dans lesquelles elle a été créée ; il n'y a donc rien à examiner a posteriori.
Des coins quittent déjà l'adresse	Une migration ne vous aidera pas à ce stade, car la situation est devenue une course aux frais plutôt qu'un déplacement planifié.

Six questions à poser sur l'entropie de n'importe quel portefeuille

Ces points s’appliquent à tous les fabricants, y compris celui auquel vous faites actuellement confiance et y compris nous. Chacun peut recevoir une réponse en une phrase de la part d’un fournisseur qui a fait le nécessaire.

Quel composant physique produit l’aléa, et pouvez-vous en donner la référence ? Une source d’entropie est un composant de silicium précis, accompagné d’une fiche technique. Un fournisseur qui décrit sa source uniquement comme « basée sur le matériel » vous a donné une catégorie plutôt qu’un fait, et une catégorie ne peut pas être recherchée.
Cette sortie atteint-elle réellement la génération de la seed ? C’est précisément la faille dans laquelle le cas de 2026 est tombé. Une source matérielle correcte ne sert à rien si la fonction appelée lors de la configuration aboutit ailleurs : la réponse doit donc nommer le chemin d’appel plutôt que le composant.
Si le chemin sécurisé est indisponible, la compilation échoue-t-elle ou bascule-t-elle silencieusement ? Les systèmes qui se dégradent silencieusement accumulent des défaillances que personne n’observe. Un fournisseur capable de montrer une vérification à la compilation ou à l’exécution qui arrête le processus au lieu de substituer une autre méthode a conçu son système pour faire face à la défaillance qui s’est réellement produite ici.
Le code source est-il lisible et correspond-il au firmware livré ? La publication du code source et les compilations reproductibles sont deux affirmations distinctes : la première permet à quelqu’un de lire l’intention, et seule la seconde relie cette lecture au binaire présent sur l’appareil que vous tenez en main.
Un tiers indépendant a-t-il retracé la chaîne d’appels, plutôt que d’examiner l’algorithme ? La plupart des audits évaluent la conception cryptographique. Le défaut de 2021 n’était pas une erreur de conception, puisque celle-ci spécifiait correctement le générateur matériel, et l’erreur se situait un niveau plus bas, dans l’intégration, une zone que les audits négligent régulièrement.
Pouvez-vous fournir votre propre entropie et importer la seed ainsi obtenue ? Un fournisseur qui prend cela en charge offre mieux qu’une simple assurance, car cela vous permet de retirer son générateur de votre configuration. Un fournisseur qui exige une génération sur l’appareil vous demande d’accepter définitivement les cinq réponses précédentes.

Le silence sur l’un de ces points est déjà révélateur. Un fabricant qui a retracé son propre chemin d’entropie peut le décrire brièvement et sans réserve, tandis que celui qui répond par des adjectifs vantant la sécurité ne l’a probablement pas examiné récemment.

Que devez-vous faire si vous avez besoin d’une nouvelle seed ?

Cette procédure est indépendante de la marque et s’applique à toute migration depuis une seed suspecte. Suivez-la sans vous presser, car une migration précipitée peut coûter plus cher que le défaut lui-même.

Générez la nouvelle seed sur un appareil qui ne présente pas le défaut que vous êtes en train de quitter. Rester chez le même fabricant signifie installer le firmware corrigé et confirmer d’abord la version affichée sur l’écran de l’appareil. Passer à un autre fabricant signifie vérifier indépendamment l’implémentation de l’entropie de ce fabricant. Générer un remplacement sur l’appareil non corrigé reproduit le problème.
Si l’ancienne graine est déjà suspecte, envisagez de transférer les fonds avant d’effectuer la mise à jour. Des rapports indépendants publiés début août ont fait état d’appareils tombant en panne pendant la mise à jour du micrologiciel. Effectuer la migration avec un autre appareil auquel vous faites déjà confiance élimine toute dépendance à cette étape.
Sauvegardez physiquement la nouvelle phrase. Pas de photographies, de captures d’écran, d’application de notes ni de copie numérique d’aucune sorte. Notre guide sur le nombre de copies de sauvegarde à conserver présente les compromis à prendre en compte.
Vérifiez la sauvegarde en restaurant à partir de celle-ci. Effacez l’appareil et restaurez-le, ou restaurez la sauvegarde sur un second appareil, car une sauvegarde qui n’a pas été testée repose uniquement sur l’hypothèse qu’elle fonctionne.
Confirmez une adresse de réception sur l’écran de l’appareil qui détient les clés. Vérifiez-la sur cet appareil plutôt que dans une application associée ou sur l’écran d’un ordinateur, car l’écran de l’appareil est la seule interface qu’un attaquant ne peut pas modifier à distance.
Envoyez une petite transaction de test. Transférez un montant minimal vers l’adresse vérifiée, attendez la confirmation et vérifiez que le solde apparaît.
Transférez le solde restant et mettez l’ancien portefeuille hors service. N’utilisez plus aucune adresse dérivée de l’ancienne graine et redirigez les paiements récurrents. Conservez l’ancienne sauvegarde jusqu’à la confirmation de chaque transfert, puis considérez cette graine comme désactivée.

Une mise en garde s’impose toutefois. Oublier une phrase secrète BIP39 signifie que les fonds qui en dépendent ne pourront être récupérés par personne, y compris par nous. Ainsi, toute phrase secrète ajoutée lors de la migration doit disposer de son propre plan de stockage avant que vous ne comptiez dessus.

Pouvez-vous écarter le générateur du fabricant de la question ?

Sur ce sujet, ELLIPAL préfère présenter un fait concernant le produit plutôt qu’une promesse. Notre générateur n’a pas besoin de faire partie de votre configuration. Tous les produits ELLIPAL acceptent une phrase BIP39 de 12 à 24 mots produite ailleurs, qu’elle provienne de dés, d’un appareil de signature open source ou d’un portefeuille que vous possédez déjà, et tous les produits ELLIPAL prennent en charge la phrase secrète BIP39 de votre choix.

Sur Titan 2.0, les mots sont saisis directement sur l’écran de l’appareil : la phrase est donc introduite dans le matériel qui la conservera, et non via un ordinateur connecté. Sur l’ELLIPAL X Card, un portefeuille matériel NFC hors ligne au format carte bancaire, l’importation s’effectue sur le X Card Starter hors ligne fourni avec la carte, ce qui empêche la phrase d’être exposée à une application mobile. Les deux gammes utilisent des éléments sécurisés certifiés Common Criteria et dérivent les clés selon BIP39 et BIP44. Ainsi, une phrase que vous avez générée vous-même peut restaurer n’importe quel portefeuille BIP39 de n’importe quelle marque si vous décidez plus tard de changer de solution.

Foire aux questions

Comment savoir si mon propre portefeuille matériel est concerné ?

Vérifiez trois éléments : le modèle, la version exacte du micrologiciel utilisée lors de la création de la phrase, et le fait que la phrase ait été générée sur cet appareil ou importée depuis une autre source. Une phrase importée dépend de ce qui l’a générée à l’origine. Si vous ne vous souvenez pas avec certitude de la version du micrologiciel ou de l’origine, considérez cette incertitude comme le résultat de l’analyse, car une phrase ne conserve aucune trace des conditions dans lesquelles elle a été créée.

Puis-je tester une phrase de récupération pour vérifier si elle est suffisamment aléatoire ?

Non. Aucun test effectué sur les mots eux-mêmes ne pourra vous le dire. Les validateurs vérifient que chaque mot figure dans la liste BIP39 et que la somme de contrôle est correcte ; toute phrase correctement formée satisfait ces critères, quelle que soit l’entropie à l’origine. Douze ou vingt-quatre mots fournissent également beaucoup trop peu de données pour qu’une analyse statistique permette de tirer une conclusion significative. Les preuves se trouvent dans l’historique de génération, et non dans le résultat.

L’importation d’une phrase de récupération que j’ai générée moi-même l’affaiblit-elle ?

Non. La dérivation BIP39 est déterministe : un appareil auquel vous fournissez vos mots dérive exactement les clés décrites par ces mots, comme n’importe quel autre portefeuille BIP39 utilisant la même entrée. La solidité a été déterminée au moment où l’entropie a été recueillie. Lors de l’importation, l’important est de saisir les mots sur un appareil hors ligne, plutôt que de les taper sur un appareil connecté à Internet.

Une phrase secrète suffit-elle à protéger une phrase générée de manière vulnérable ?

Une phrase secrète BIP39 ajoute un secret que vous avez choisi vous-même plutôt qu’un secret généré par l’appareil ; elle est donc indépendante du fonctionnement du générateur du fabricant. Face à un attaquant qui énumérerait des phrases faibles, elle augmente considérablement le coût de l’attaque. Elle ne corrige pas la faiblesse de la phrase sous-jacente ; c’est pourquoi elle convient mieux comme protection pendant la migration que comme solution permanente. Si vous l’oubliez, les fonds qui en dépendent deviennent inaccessibles.

Le passage à une nouvelle phrase coûte-t-il quelque chose ?

La migration entraîne des frais de réseau sur chacune des chaînes concernées, et ces frais dépendent des conditions du moment, pas du portefeuille utilisé. ELLIPAL ne facture rien pour générer ou importer une phrase, et une phrase que vous avez créée vous-même peut être importée dans un appareil que vous possédez déjà ; un nouveau matériel est donc un choix, pas une obligation. Prévoyez les frais sur chaque chaîne que vous détenez, car une migration partielle laisserait des soldes sur l’ancienne phrase.

Puis-je continuer à utiliser l’appareil après la mise à jour du micrologiciel ?

La mise à jour rétablit le générateur pour les phrases de récupération créées après son installation, de sorte que le portefeuille matériel redevient utilisable pour une nouvelle phrase. La phrase créée pendant la défaillance reste vulnérable, quelle que soit la version actuellement exécutée par l’appareil ; c’est pourquoi il faut créer une nouvelle phrase plutôt que se contenter de la mise à jour. Étant donné les signalements d’appareils tombant en panne pendant la mise à jour, transférer les fonds avec un appareil auquel vous faites déjà confiance est l’option la moins risquée lorsque l’ancienne phrase est suspecte.

Un portefeuille matériel vaut-il encore la peine d’être utilisé après un cas comme celui-ci ?

La défaillance concernait un chemin d’intégration précis au sein d’une seule version de micrologiciel et ne provenait pas de l’idée de conserver les clés privées hors d’une machine connectée à Internet. Ce que cette affaire change, c’est la nature des questions qu’il vaut la peine de se poser avant d’accorder sa confiance à un appareil, puisque la provenance de l’entropie s’est révélée tout aussi importante que l’architecture de signature généralement comparée. Un portefeuille qui vous permet de fournir votre propre phrase vous donne un moyen d’agir en fonction de ces questions plutôt que d’accepter une réponse toute faite.

Que se passe-t-il si je perds une phrase de récupération que j’ai générée moi-même ?

Le même résultat que la perte de toute phrase de récupération en auto-garde : les fonds deviennent inaccessibles. Générer votre propre entropie n’offre aucun service de récupération ni possibilité de réinitialisation, et cela vaut pour tout portefeuille en auto-garde, quel que soit le fabricant des mots. Conservez au moins une sauvegarde physique durable, stockée à l’écart de l’appareil, et si vous utilisez une phrase secrète, stockez-la séparément.

À propos d’ELLIPAL

ELLIPAL est présent sur le marché depuis 2018 et compte plus d’un million d’utilisateurs dans plus de 140 pays. Les produits ELLIPAL sont compatibles avec BIP39 et BIP44, prennent en charge plus de 10 000 tokens sur plus de 45 blockchains et utilisent des éléments sécurisés certifiés Common Criteria. Le matériel ELLIPAL a fait l’objet d’évaluations indépendantes par des médias tels que Coin Bureau, 99Bitcoins et CryptoNews.

Portefeuille froid ELLIPAL X Card

Portefeuille froid ELLIPAL Titan 2.0

Produit