Une faille logicielle majeure dans les portefeuilles Coldcard de la firme canadienne Coinkite a permis le vol de plus de 100 millions de dollars, soit l’équivalent d’environ 1755 bitcoins. Au total, près de 5000 portefeuilles jugés ultra-sécurisés ont été siphonnés, ébranlant une nouvelle fois le secteur des cryptomonnaies.

La police de Toronto confirme que l’Unité des crimes financiers a ouvert une enquête concernant cette affaire.

De son côté, Coinkite reconnaît que, pour beaucoup des gens touchés, il s’agissait d’argent qui a pris des années à être épargné.

Le problème provient d’une erreur d’intégration du générateur de nombres aléatoires (RNG) dans le micrologiciel déployé à partir de 2021 et touchant les modèles touchés Mk2, Mk3, Mk4, Mk5 et Q.

Lors de l’initialisation de l’appareil, celui-ci doit générer une phrase de récupération de 24 mots. Cette phrase sert de mot de passe maître et de clé d’accès absolue pour contrôler les fonds.

La Coldcard a été lancée pour la première fois en 2017 afin d’offrir une méthode ultra-sécurisée et hors ligne de stockage de bitcoins.

Photo : Coinkite

En raison d’une erreur d’information, les mots de passe générés par les appareils touchés étaient prévisibles. Au lieu de générer des clés de sécurité grâce à un vrai hasard mathématique, les appareils ont utilisé des données faciles à deviner, comme leur numéro de série.

Les correctifs

Le 1^er août, au lendemain, de la fraude, Coinkite a publié un correctif logiciel et détruit ses stocks d’appareils vulnérables restants.

L’entreprise rappelle toutefois que la mise à jour logicielle ne répare pas les clés déjà compromises : pour sécuriser leurs avoirs, les utilisateurs doivent impérativement générer un tout nouveau mot de passe — une nouvelle clé — et y transférer manuellement leurs fonds.

Coinkite demande également aux victimes de ne pas jeter leur appareil Coldcard compromis, car il pourrait s’avérer essentiel si les autorités parvenaient un jour à récupérer les fonds.

Des recours collectifs incertains

Face à ce désastre, la colère gronde sur les réseaux sociaux et l’idée d’un recours collectif fait son chemin. Pourtant, selon Al Vigier, PDG de Caseway, les chances de récupérer les sommes perdues par la voie des tribunaux sont minces.

Pour Al Vigier, PDG de Caseway, la meilleure option pour les victimes est de pousser Coinkite à coopérer et activement pour suivre l’argent sur la chaîne de blocs, puisque près de 90 % des fonds volés n’ont pas encore bougé.

Photo : Avec l’autorisation d’Al Vigier

Bien que les entreprises tentent de se protéger derrière des clauses d’exclusion de responsabilité dans ses conditions d’utilisation, M. Vigier explique qu’un juge peut décider de passer outre et de certifier l’action collective malgré tout.

Annie Lecompte, professeure au département des sciences comptables de l’UQAM, abonde dans le même sens, même si les entreprises cherchent à limiter leurs risques dans leur contrat de service.

Ça ne veut pas dire que, parce qu’ils se dégagent dans leur contrat, automatiquement ils ne sont pas responsables.

D’ailleurs, M. Vigier fait remarquer que Coinkite a spécifiquement inscrit, dans ses conditions d’utilisation, qu’elle ne vend pas ses produits aux résidents du Québec et qu’aucun recours ne peut y être déposé, favorisant plutôt l’Ontario.

Le Québec possède des lois sur la protection des consommateurs et les recours collectifs qui sont historiquement beaucoup plus favorables aux plaignants que celles de l’Ontario ou des États-Unis.

Cependant, comme le rappelle M. Vigier, un juge a toujours le pouvoir de rejeter ces clauses contractuelles s’il les juge abusives ou déraisonnables, et de certifier le recours collectif malgré tout.

Annie Lecompte, professeure au département des sciences comptables de l’UQAM, explique que l’Agence du revenu du Canada et Revenu Québec traite ce vol comme une « vente à 0 $ », ce qui permet de déclarer une perte en capital déductible d’impôt. (Photo d’archives)

Photo : Radio-Canada / Martin Brunette

Le véritable problème réside plutôt dans la solvabilité de l’entreprise. Coinkite n’aurait que cinq employés et un actif ne s’élevant qu’à un peu plus de 100 000 $, aux dires de M. Vigier.

Si les victimes décident de poursuivre l’entreprise et gagnent leur procès, le tribunal rendra un jugement officiel en leur faveur. Cependant, face à une entreprise insolvable ou en faillite, ce jugement n’aura aucune valeur financière réelle.

Sans une police d’assurance de responsabilité d’envergure pour couvrir les dommages, les victimes risquent de n’obtenir qu’un morceau de papier à accrocher au mur, explique M. Vigier, sans espoir de récupérer leurs fonds.

Le vol de plus de 100 millions de dollars représente l’équivalent d’environ 1755 bitcoins. (Photo d’archives)

Photo : Reuters / Dado Ruvic/Illustration

La plupart des start-ups n’en disposent pas de toute façon, car cela représente un coût supplémentaire. Il est donc extrêmement improbable [que les victimes] puissent obtenir réparation auprès de l’entreprise, dit-il en parlant d’une police d’assurance.

Il rappelle le précédent de la plateforme canadienne QuadrigaCX où les procédures de faillite n’ont permis aux victimes de récupérer que 13 sous par dollar perdu.

Pour lui, la meilleure option pour les victimes est de pousser Coinkite à coopérer et activement suivre l’argent sur la chaîne de blocs, puisque près de 90 % des fonds volés n’ont pas encore bougé.

Une lueur d’espoir du côté des impôts

Mme Lecompte explique que l’Agence du revenu du Canada et Revenu Québec traite ce vol comme une vente à 0 $, ce qui permet de déclarer une perte en capital déductible d’impôt.

Elle précise que la perte est calculée sur le coût d’acquisition initial du bitcoin et non sur sa valeur marchande au moment du vol.

42:42

Pour faire accepter leur réclamation, les victimes devront démontrer que leurs comptes ont été vidés durant la période de la fraude en fournissant les détails de l’appareil utilisé.

Mme Lecompte estime que l’administration fiscale se montrera probablement clémente en raison du caractère public et massif de cette affaire.

De son côté, la Commission des valeurs mobilières de l’Ontario réaffirme sa mission de protection des investisseurs. Son porte-parole, Curtis Lindsay, n’a toutefois pas voulu préciser si le fabricant faisait l’objet d’une enquête.