À quoi ça sert, 2 dollars, maintenant ? Même pas assez pour la petite monnaie d’un bubble tea 🧋 Mais aujourd’hui, quelqu’un m’a dit qu’à ce prix-là, l’IA peut creuser intégralement les failles fatales de l’industrie des cold wallets. Et à cause de ce bug, les utilisateurs ont déjà perdu plus de 100 millions de dollars 💸

Celui qui parle est Haseeb Qureshi, associé-gérant de Dragonfly. Il a fait un calcul qui met les gens K.O. : auditer un firmware de cold wallet avec l’IA ne coûte que 2 dollars.

Ce n’est pas du blabla. Le bug d’entropie dans Coldcard, celui qui a fait vibrer toute l’industrie, a été reproduit par quelqu’un en utilisant Claude Code : seulement 8 minutes. Dans un environnement sans réseau, remplacer par GLM 5.2 et 20 minutes suffisent aussi pour le retrouver. En ramenant ça au coût d’entrée/sortie par modèle, on arrive à 2 dollars. Deux dollars, les amis. Pas le prix d’un repas dans un stand de Shaanxi—et pourtant, ça permet d’identifier à l’avance cette bombe qui a fait bouger des dizaines de milliers de personnes dans la nuit.

Revenons au contexte : sur certaines versions de firmware de Coldcard, la génération des graines ne passe pas par du vrai aléatoire matériel, mais dégénère en pseudo-aléatoire logiciel déterministe. En clair : vous pensez que la clé privée sort comme un lancer de dés, alors qu’en réalité elle est calculée à partir d’une formule fixe. Le piratage a commencé fin juillet ; Coinkite a publié un correctif d’urgence le 31 juillet, obligeant tous les utilisateurs concernés à reconstruire leurs graines et à transférer leurs actifs — mettre à jour le firmware ne suffit pas à récupérer l’ancienne graine : il faut déménager.

La citation de Qureshi est encore plus mordante : « Pour 2 dollars, un système d’IA renforcé suffit à exploiter ce bug. Aucune excuse. » Il a aussi lancé un nouvel indicateur : le coût de découverte (Cost of Discovery), qui mesure combien il faut pour qu’une IA de pointe reproduise indépendamment une faille. Désormais, dans la communauté sécurité, on ne comparera peut-être plus seulement l’épaisseur des rapports, mais plutôt qui est prêt à dépenser pour la défense par IA.

Mon avis : l’essence de cette affaire, c’est que l’économie de la sécurité a été totalement reconfigurée par l’IA. Avant, la recherche de vulnérabilités était un métier : les acteurs malveillants devaient embaucher, investir du temps et compter sur la chance ; maintenant, l’IA fait chuter le coût de découverte au niveau plancher, et l’équilibre attaque/défense penche directement. Qui pleure ? Les petits fabricants de portefeuilles — les grands peuvent faire tourner tout un scan IA à chaque nouvelle version, tandis que les petites équipes n’arrivent même pas à payer la facture d’API. Cette industrie va commencer à se battre sur les budgets. Qui sourit ? Les hackers et les vendeurs d’outils d’IA — les deux côtés gagnent 🤖

Il y avait aussi une vieille illusion qui a été démontée au passage : open source ne veut pas dire sécurité. Publier le code peut protéger contre les développeurs mal intentionnés, mais n’empêche pas les attaquants malveillants — eux utilisent l’IA pour scanner votre code source, avec une rigueur parfois supérieure à la vôtre.

Donc, le scénario à venir ressemble probablement à ceci : l’audit de sécurité par IA passe d’un bonus à une configuration standard. Pour les portefeuilles, les contrats et les exchanges, ne pas le faire, c’est être à poil. Quant aux utilisateurs lambda, retenez une phrase : même un appareil très froid ne peut rien contre des failles à température ambiante 🦖

Alors, tu penses que cette vague est une opportunité ou un piège ? Dis-le dans les commentaires.