Au-delà de l'exploit Coldcard

Deux incidents de sécurité en apparence sans lien ont récemment retenu l'attention du secteur financier. Une vulnérabilité sérieuse affectant les hardware wallets Coldcard a entraîné la compromission de fonds d'utilisateurs, tandis que plusieurs des plus grands hedge funds mondiaux — parmi lesquels Point72, Citadel, Millennium et Two Sigma2 — auraient été visés par des attaques de phishing vocal destinées à dérober les identifiants de leurs collaborateurs.

Le premier cas concerne l'auto-conservation de Bitcoin, le second la finance traditionnelle. Tous deux traduisent pourtant la même tendance de fond : l'intelligence artificielle commence à transformer l'économie de la cybersécurité.

Une vulnérabilité introduite dans le firmware Coldcard en mars 2021 est restée indétectée pendant plus de cinq ans avant d'être exploitée contre de véritables utilisateurs. Coinkite1 a confirmé que les appareils concernés généraient une entropie nettement inférieure à celle prévue, affaiblissant la sécurité des seeds créées avec le firmware vulnérable. Les estimations de chercheurs spécialisés dans l'analyse blockchain suggèrent que 116 à 130 millions de dollars de Bitcoin pourraient avoir été compromis sur plusieurs milliers d'adresses.

Aucun élément public n'indique que l'IA soit à l'origine de la découverte de cette faille. Coinkite a évoqué la possibilité qu'une revue de code assistée par IA ait joué un rôle, mais ses propres tests rétrospectifs, menés avec plusieurs modèles de frontière, n'ont pas permis de l'identifier. La question la plus importante est ailleurs : que se passera-t-il si l'IA continue de réduire le temps, l'expertise et le coût nécessaires pour détecter des failles logicielles subtiles dans l'ensemble de la finance ?

Le FMI a averti que l'IA pourrait accélérer la découverte et l'exploitation des vulnérabilités, tandis que le National Cyber Security Centre britannique identifie le développement d'exploits assisté par IA comme un risque significatif à court terme. L'IA n'a pas besoin de casser la cryptographie pour modifier en profondeur la sécurité financière. Il lui suffit de rendre tout ce qui l'entoure plus facile à attaquer.

Autorisation cryptographique et confiance institutionnelle

Bitcoin et la finance traditionnelle reposent sur des architectures de sécurité différentes. La couche de base de Bitcoin valide les conditions de dépense par voie cryptographique, généralement sans avoir à établir l'identité réelle de la personne à l'origine de la transaction. Les institutions financières traditionnelles recourent elles aussi largement à la cryptographie — chiffrement, modules matériels de sécurité et signatures numériques — mais la cryptographie n'y constitue qu'une couche parmi d'autres.

Les banques et les sociétés de gestion doivent en outre déterminer si leurs clients sont authentiques, si leurs collaborateurs sont habilités, si leurs contreparties sont légitimes et si les instructions de paiement peuvent être suivies. Ce sont des problématiques d'identité et de confiance institutionnelle, et l'IA se révèle de plus en plus efficace pour les attaquer. Les grands modèles de langage savent personnaliser le phishing, reproduire voix et vidéos, automatiser la reconnaissance et rechercher des vulnérabilités avec une intervention humaine réduite.

Les récentes attaques contre des hedge funds en offrent une illustration éclairante : Point72, Citadel, Millennium et d'autres grandes sociétés d'investissement ont été visées par des dispositifs de phishing vocal, les attaquants se faisant passer pour des interlocuteurs de confiance afin d'obtenir des identifiants sensibles. Selon les informations disponibles, la campagne plus large aurait fait appel au clonage vocal par IA. Les éléments publics sur le rôle exact de l'IA restent limités, mais les attaquants cherchaient manifestement à exploiter la confiance humaine plutôt qu'à contourner la cryptographie sous-jacente.

Plusieurs tentatives semblent avoir été détectées avant tout dommage matériel. Or ces sociétés disposent de budgets de cybersécurité considérables, d'équipes spécialisées et de dispositifs de contrôle éprouvés. Que les attaquants continuent de considérer les collaborateurs et les processus d'identité comme des points d'entrée viables est en soi révélateur.

L'IA transforme l'économie des cyberattaques

Les preuves les plus nettes viennent de l'AI Security Institute britannique. L'AISI a soumis des modèles de frontière à une attaque simulée de réseau d'entreprise en 32 étapes, comprenant reconnaissance, vol d'identifiants, exploitation, rétro-ingénierie et exfiltration de données. À budget d'inférence fixe de 10 millions de tokens, GPT-4o accomplissait en moyenne 1,7 étape en août 2024. En février 2026, Claude Opus 4.6 en accomplissait 9,8 en moyenne, soit une multiplication par près de six en 18 mois.

La meilleure exécution individuelle a franchi 22 des 32 étapes, soit environ six des 14 heures de travail que l'AISI estime nécessaires à un expert humain. Le test ne comportait pas de défenseurs actifs, mais la tendance est claire : des capacités qui exigeaient hier une expertise considérable deviennent moins coûteuses et plus accessibles.

Figure 1 : nombre moyen d'étapes accomplies par les agents d'IA de frontière dans le benchmark de cyberattaque d'entreprise en 32 étapes de l'AISI, à budget d'inférence fixe de 10 millions de tokens. Source : UK AI Security Institute.

L'exploitation de vulnérabilités s'impose déjà comme une voie d'accès majeure aux systèmes d'entreprise. Le Data Breach Investigations Report 2026 de Verizon constate qu'elle est devenue le premier vecteur d'accès initial, à l'origine de 31 % des violations, tandis que des tiers étaient impliqués dans 48 % des cas.

Cela compte pour la finance, qui dépend de fournisseurs cloud, de prestataires de paiement, de fournisseurs d'identité, de dépositaires et de milliers d'autres tiers. Le Conseil de stabilité financière estime que les seules institutions financières non bancaires détenaient 256,8 billions de dollars d'actifs en 2024. L'IA n'a pas besoin de créer une nouvelle catégorie de cyberattaque pour modifier le profil de risque de cette infrastructure : il lui suffit de réduire le coût marginal d'une attaque sur les points faibles existants.

La même logique vaut pour la fraude. La BCE et l'ABE ont relevé que la fraude aux paiements dans l'Union européenne était passée de 3,5 milliards d'euros en 2023 à 4,2 milliards d'euros en 2024. L'authentification forte du client continue de donner de bons résultats, mais les deux institutions soulignent le poids croissant des cas où des utilisateurs légitimes sont manipulés pour authentifier eux-mêmes des transactions frauduleuses.

L'IA élargit potentiellement cette surface d'attaque. Génération vocale, phishing personnalisé, identités synthétiques et reconnaissance automatisée renforcent la sophistication et l'échelle de l'ingénierie sociale. Si un attaquant ne peut pas vaincre techniquement l'authentification, il lui reste à convaincre la personne authentifiée de le faire à sa place. La machine n'a pas besoin de voler la clé si elle peut persuader celui qui la détient d'ouvrir la porte.

Ce que Coldcard nous apprend réellement

L'exploit Coldcard n'a pas révélé une défaillance du mécanisme de consensus de Bitcoin ni de sa cryptographie sous-jacente, mais un défaut d'implémentation dans le processus de génération de l'entropie cryptographique. Des protocoles sûrs exigent toujours des implémentations sûres. Bitcoin peut offrir de solides garanties cryptographiques au niveau du protocole alors même que le matériel, les logiciels et les utilisateurs qui l'entourent demeurent vulnérables.

Bitcoin a continué de fonctionner comme prévu : l'attaquant n'a brisé ni son algorithme de signature ni son mécanisme de consensus. Ce sont les faiblesses de l'implémentation qui ont rendu les clés de certains utilisateurs moins imprévisibles qu'elles n'auraient dû l'être. Cela nuance la lecture habituelle de l'auto-conservation. Supprimer un dépositaire tiers supprime une forme de risque de contrepartie, mais transfère au détenteur la responsabilité du matériel, des logiciels, des sauvegardes et de la sécurité opérationnelle.

Pour certains investisseurs, de tels incidents peuvent renforcer les arguments en faveur de la conservation institutionnelle ou de structures ETP, où la gestion des clés est assurée par des professionnels et associée à une conservation ségréguée, à des politiques de cold storage, à une autorisation multipartite, à des wallets whitelistés et à une surveillance continue. La conservation institutionnelle n'est pas à l'abri du cyberrisque, mais l'arbitrage porte moins sur le modèle « sécurisé » que sur les risques que les investisseurs sont disposés et outillés à gérer eux-mêmes.

Si les défaillances de sécurité liées à Bitcoin attirent une attention disproportionnée, c'est notamment parce que les pertes y sont immédiatement visibles. Lorsqu'un wallet en auto-conservation est compromis, le propriétaire en supporte généralement directement la perte et les mouvements d'actifs sont observables. Dans la finance traditionnelle, les pertes peuvent au contraire se répartir entre institutions, assureurs, prestataires de paiement et clients.

Il existe une asymétrie plus importante encore. L'architecture de sécurité de base de Bitcoin est conçue pour réduire au minimum le besoin de confiance discrétionnaire. La finance traditionnelle, elle, ne peut pas retirer l'identité de son modèle opérationnel. Les banques doivent connaître leurs clients, définir ce que leurs collaborateurs sont autorisés à faire, maintenir des mécanismes de recouvrement et permettre une intervention humaine en cas de circonstances exceptionnelles. À mesure que les machines imitent mieux les humains, repèrent les vulnérabilités et automatisent les attaques, entretenir une confiance fondée sur l'identité deviendra vraisemblablement plus coûteux.

Cela ne signifie pas que Bitcoin ou les réseaux décentralisés seraient intrinsèquement sûrs et la finance traditionnelle intrinsèquement vulnérable. Coldcard montre précisément pourquoi une telle affirmation serait trop simpliste. Mais cet épisode suggère que l'IA pourrait bouleverser l'économie relative des différentes architectures de sécurité.

L'exploit Coldcard a démontré que la qualité de l'implémentation compte autant que la conception cryptographique. Dans le même temps, les attaques visant certaines des sociétés d'investissement les plus sophistiquées de Wall Street illustrent le défi qui attend les systèmes financiers dépendants de l'identité, à mesure que l'imitation convaincante d'un être humain devient bon marché.

Ces incidents ne prouvent pas qu'un système financier serait sûr et l'autre non, mais l'asymétrie actuelle est considérable : la finance traditionnelle présente bien plus de vecteurs d'attaque et des montants en jeu bien plus élevés. Nous pensons par ailleurs que de nouvelles annonces d'attaques liées à l'IA orienteront probablement les investisseurs vers des solutions blockchain décentralisées, nettement moins vulnérables que les registres centralisés en usage dans la finance ou dans la sphère publique.

Sources :

1 Coinkite Security Advisory, 30 juillet 2026, blog.coinkite.com

2 Bloomberg.com, 5 août 2026