Le fabricant de hardware Bitcoin Coinkite a adressé samedi un avertissement direct aux utilisateurs de Coldcard Mk3, indiquant à toute personne ayant généré un seed sur le firmware 4.0.1 ou toute version ultérieure que ses fonds pourraient être en danger. Cette alerte fait suite à des rapports on-chain faisant état d'environ 594,5 BTC vidés sur près de 500 adresses de portefeuille, selon un schéma que des cryptographes ont rattaché à un générateur de nombres aléatoires défectueux sur les versions de firmware concernées.
Pourquoi c'est important
Coldcard est l'un des hardware wallets air-gapped les plus anciens du marché Bitcoin, populaire auprès des maximalistes de l'auto-conservation et des trésorerie institutionnelles qui exigent une stricte isolation vis-à-vis des environnements en ligne. Une faille de génération de seed sur un appareil de cette catégorie représente le pire scénario de défaillance : la sécurité du cold storage n'est jamais plus solide que l'entropie qui a produit la clé privée, et un aléa déterministe ou biaisé signifie qu'un attaquant qui comprend ce biais peut reconstituer la clé sans jamais toucher l'appareil. Coinkite a exhorté les utilisateurs à transférer immédiatement leurs fonds vers un seed généré sur un autre appareil, non compromis.
Impact sur le marché
À environ 60 000 dollars le BTC, le butin de 594 BTC porte le vol à plus de 35 millions de dollars, ce qui en fait l'une des plus grandes compromissions de cold storage de l'année. Cet épisode rappelle que les hardware wallets ne constituent pas une frontière de confiance monolithique unique : la puce, le firmware et la chaîne d'approvisionnement représentent autant de surfaces d'attaque distinctes. Surveillez la pression en aval sur les concurrents du cold storage, dont Ledger et Trezor, ainsi qu'un regain d'attention sur la manière dont les fournisseurs attestent de l'intégrité des mises à jour de firmware.
Questions fréquemment posées
-
Quels appareils Coldcard sont concernés par la faille de génération de seed ?
Coinkite a averti que tout Coldcard Mk3 utilisé pour générer un seed sur le firmware 4.0.1 ou toute version ultérieure peut présenter un risque pour les fonds. Les utilisateurs sont invités à transférer leurs fonds vers un seed généré sur un autre appareil, non compromis.
-
Combien de Bitcoin a été volé dans le piratage Coldcard ?
Environ 594,5 BTC ont été vidés sur près de 500 adresses de portefeuille selon un schéma lié au firmware défectueux. À environ 60 000 dollars le BTC, le butin dépasse les 35 millions de dollars.
-
Comment la faille permet-elle aux attaquants de vider les portefeuilles sans l'appareil ?
La sécurité du cold storage n'est jamais plus solide que l'entropie ayant produit la clé privée. Un générateur de nombres aléatoires biaisé sur le firmware 4.0.1 et ultérieurs signifie qu'un attaquant qui comprend ce biais peut reconstituer la clé privée sans jamais toucher physiquement l'appareil.
-
Que doivent faire dès maintenant les utilisateurs de Coldcard Mk3 ?
Coinkite a exhorté les utilisateurs à transférer immédiatement leurs fonds vers un seed généré sur un autre hardware non compromis, et à considérer tout seed créé sur le firmware affecté comme potentiellement compromis.
-
Cette faille peut-elle toucher d'autres marques de hardware wallets comme Ledger ou Trezor ?
La faille est spécifique au firmware Coldcard Mk3 de Coinkite, mais cet épisode va probablement déclencher un regain d'attention sur la manière dont tous les fournisseurs de hardware wallets attestent de l'intégrité de leur firmware, et pourrait pousser les concurrents du cold storage à publier des audits indépendants.
CoinTelegraph
CoinDesk
CryptoSlate
Lookonchain
WuBlockchain