Un développeur a recompilé à l'octet près bitcoin.exe, le premier client Bitcoin publié par Satoshi Nakamoto en janvier 2009, à partir du code source d'origine. Selon Journal du Coin, qui relate le projet le 25 octobre 2026, le fichier obtenu porte la même empreinte SHA-256 que l'original. Le résultat prouve que l'exécutable de 2009 sortait bien du code publié, sans programme caché. Il ne dit rien de l'identité de Satoshi.
Ce que le dépôt GitHub a reconstruit
Le projet prend la forme d'un dépôt GitHub. Il part du code source publié avec la première version et vise un seul but : produire un bitcoin.exe identique à celui distribué en 2009. Selon le readme du dépôt, la première tentative demande environ 6 minutes.
À l'arrivée, le script affiche « MATCH ». Le fichier reconstitué, un programme de 6 440 960 octets, porte le même SHA-256 que l'original. Le SHA-256 sert ici d'empreinte numérique : deux empreintes identiques désignent deux fichiers identiques. L'archive .rar reconstituée reproduit aussi les empreintes publiées par le Satoshi Nakamoto Institute.
Comment fonctionne une compilation reproductible ?
Compiler, c'est transformer du code source en programme exécutable. Le résultat dépend des outils employés : deux machines équipées différemment n'obtiennent jamais le même fichier. Une compilation reproductible consiste donc à retrouver la chaîne d'outils exacte de l'auteur.
Pour Bitcoin 0.1, la tâche était lourde. Le dépôt a dû réunir des paquets chinés dans les archives de 2006 à 2008, jusqu'à l'instantané exact employé par Satoshi. Faute de Windows XP, il rejoue la compilation sous Linux avec Wine, un logiciel qui imite le Windows 32 bits de l'époque.
La méthode ne demande pas de croire le développeur sur parole. Les empreintes de chaque fichier sont publiées, et n'importe qui peut relancer la compilation pour vérifier le résultat soi-même.
Ce que l'exécutable révèle de la machine de Satoshi Nakamoto
Le binaire garde des traces internes qui nomment chaque bibliothèque employée, avec sa version. La plus parlante est MinGW GCC 3.4.5, dont le chemin de compilation figure dans le fichier. Le readme de la version 0.1.5 citait deux compilateurs possibles, MinGW et Visual C++ 6.0. Le binaire tranche cette question en faveur de MinGW.
Le système d'exploitation repose sur un indice plus indirect. Un test de la base de données Berkeley DB échoue d'une manière très précise, que seuls les fichiers système de Windows XP produisent. C'est l'indice le plus solide avancé par le dépôt. Satoshi l'avait d'ailleurs écrit le 8 janvier 2009 en annonçant son client : « Windows uniquement pour l'instant. »
L'archive livre aussi ses détails. Ses en-têtes conservent des dates réglées à la main, à la minute près. Satoshi a empaqueté son logiciel avec un WinRAR déjà âgé de plus de trois ans, que le dépôt a retrouvé. Selon Journal du Coin, l'exécutable a été achevé le 10 janvier 2009.
Résultat établi, hypothèse et inconnues
| Affirmation | Statut | Sur quoi elle repose |
|---|---|---|
| Le bitcoin.exe distribué sort du code source publié | Établi | Même SHA-256, compilation que chacun peut relancer |
| Aucun programme caché dans l'exécutable | Établi | Le fichier correspond exactement au code publié |
| Compilateur MinGW GCC 3.4.5 | Établi | Chemin de compilation inscrit dans le binaire |
| Machine sous Windows XP | Hypothèse solide | Comportement d'un test Berkeley DB |
| Paquet du jour du lancement | Non vérifiable | Aucune copie vérifiée n'a survécu |
| Identité de Satoshi | Inconnue | Le dépôt ne dit rien de l'utilisateur |
Ce qu'on ne sait pas encore
Le bitcoin-0.1.0 reconstruit n'est pas celui du 8 janvier 2009. L'archive correspond à la mise à jour du 10 janvier, car aucune copie vérifiée du paquet de lancement n'a survécu. Le fichier du premier jour échappe donc à la vérification.
La reconstruction n'est pas non plus entièrement indépendante. Le script recopie trois horodatages lus sur le fichier d'origine. Il répète ainsi un geste de Satoshi sans le redécouvrir par lui-même.
Enfin, l'énigme humaine reste entière. L'ordinateur de Satoshi n'apparaît dans aucun document, et le dépôt ne dit rien de son utilisateur. Connaître un compilateur et un système d'exploitation ne désigne personne.
L'enjeu de cette identité n'est pas seulement historique. Selon Journal du Coin, le créateur de Bitcoin détient l'équivalent de 71 milliards de dollars en BTC. Les bitcoins de la première heure ne dorment pas non plus éternellement : le même média rapporte que 100 BTC de l'ère Satoshi sont sortis de seize ans de sommeil « en octobre dernier », sans préciser l'année. Rien, dans le dépôt, ne relie ces mouvements à une personne.
Pourquoi la vérification compte pour la sécurité d'un portefeuille bitcoin
En 2009, personne ne vérifiait le fichier livré par Satoshi. Il a fallu dix-sept ans pour établir que l'exécutable correspondait au code publié. La leçon vaut toujours : un code source public ne garantit rien sur le programme installé tant que personne ne vérifie qu'il en provient.
L'affaire des Ledger piégés, déjà couverte par 2clics, montre ce que coûte un appareil modifié. Depuis le 9 octobre 2026, des centaines de détenteurs de Ledger achetés chez CryptoBilis, revendeur agréé en Indonésie, en Malaisie et aux Philippines, ont vu leurs cryptos disparaître. Bitquery recense 102 millions de dollars siphonnés sur 324 wallets, un chiffre que Ledger n'a ni confirmé ni contesté.
Le mode opératoire tient à la distribution, pas au code. Selon Ledger, un « groupe criminel très organisé » a ouvert des appareils authentiques pour y greffer des composants, avant de les remettre en circulation via des revendeurs d'Asie du Sud-Est. Le fabricant affirme que la puce, le système d'exploitation et ses serveurs sont restés intacts.
Une campagne de phishing exploite ensuite cette affaire, selon l'alerte de la société de sécurité SlowMist. Un e-mail promet une fausse mise à jour Ledger du firmware, puis réclame les 24 mots de la phrase de récupération.
Les réflexes de sécurité d'un portefeuille bitcoin
Les consignes publiées par Ledger après l'affaire rejoignent la logique de la compilation reproductible : ne faire confiance qu'à ce qui se vérifie. Pour un détenteur de bitcoins en Suisse comme ailleurs, elles tiennent en quelques points :
- télécharger le logiciel de son portefeuille par le canal officiel de l'éditeur, comme shop.ledger.com pour Ledger Wallet ;
- mettre à jour le firmware uniquement dans l'application officielle, en confirmant chaque étape sur l'écran de l'appareil ;
- ne jamais lancer une mise à jour depuis un lien reçu par e-mail ;
- ne saisir sa phrase de récupération que sur l'appareil lui-même, jamais sur un ordinateur, un téléphone ou une page web.
