Chaque histoire Zipp taguée #HardwareWallet, les plus récentes en premier.
Aucune clé Bitcoin ni aucun fonds n'a été exposé, mais les noms et adresses de livraison peuvent rendre crédible un hameçonnage axé sur les mots de récupération bien après l'achat d'un portefeuille.
Les portefeuilles restent sûrs, mais la violation d'un prestataire tiers de newsletters a exposé les listes d'e-mails de plusieurs entreprises Bitcoin. Le danger réside dans le fait de suivre les instructions de récupération de seed figurant dans l'e-mail.
Deuxième violation de tiers pour Trezor en deux mois, et cette fois, les attaquants ont envoyé des phishing depuis le propre domaine du fournisseur, et non une adresse similaire.
Les détenteurs de hardware wallets font face à des risques de phishing et de ciblage physique alors qu'environ 67 000 nouveaux enregistrements refont surface chez un prestataire que Trezor croyait avoir purgés. La politique de suppression à 90 jours n'a pas tenu.
HWI reste ouvert et les appareils supportés continuent de fonctionner, mais le successeur BHWI ne livre des tests de parité que pour quatre appareils, sans portefeuille en production.
Ledger a fusionné le correctif d'un bug le 5 mai et celui de l'autre le 25 mai. La publication a eu lieu en août. L'écart entre la fusion et la sortie est la lecture inconfortable pour les clients de portefeuilles matériels.
Le chiffre de 683M ZIL fait la une, mais la survie de sept ans du bug dans une application signée par Ledger est la véritable information pour tout token s'appuyant encore sur la signature par matériel natif.
La faille était structurelle, non aléatoire : un indicateur de fonctionnalité considéré comme présent permettait aux attaquants de reconstituer des clés privées avec une seule pression sur un bouton. Coinkite affirme que des pertes importantes ont déjà été subies.
Le correctif renforce le RNG et le flux de signature, mais les semences des firmwares affectés entre 2021 et juillet 2026 doivent encore être remplacées. L'audit assisté par IA est le signal plus large de l'industrie ici.
Les 100 M$ de vols physiques font la une ; la fuite de 40 000 dossiers est l'avertissement structurel. La sécurité d'un portefeuille matériel signifie désormais contrôler ce qui se trouve derrière l'appareil, et non plus l'appareil lui-même.
Le bug est resté dans du code open source pendant cinq ans pendant qu'une communauté fondée sur le 'don't trust, verify' sous-traitait son jugement à la réputation d'un seul fournisseur, argue le PDG de Foundation Zach Herbert.
Les clés privées et les phrases de récupération sont intactes, mais les noms, adresses postales et coordonnées circulent désormais, offrant aux attaquants un jeu de données de phishing propre qui persistera bien après le correctif.
Galaxy Research a retracé 1 596 BTC volés lors de trois vagues d'attaques confirmées, avec une quatrième vague suspectée qui porterait les pertes totales à environ 2 000 BTC.
Avec près de 1 200 adresses et 1 000 BTC concernés, l’incident dépasse le phishing isolé pour devenir un drainage coordonné, rappelant aux utilisateurs en self-custody le risque de chaîne d’approvisionnement des hardware wallets.
Le délai de trois ans entre le dernier firmware Mk3 de Coldcard et l’avis transforme des wallets de cold storage dormants en risque de maintenance, avec une signature unique et sans passphrase comme pire scénario de conservation.
Le vol de $38M dans un seul wallet compromis en fait la plus grande attaque de supply chain visant des hardware wallets à ce jour, Coldcard pointant directement une faiblesse critique dans le chargement du firmware.
Les cryptos sont restées à l’écart du plus fort rebond actions de l’année, avec BTC à 64 300 $, alors qu’un exploit de wallet Coldcard à 38 M$ a déplacé 594 bitcoin hors chaîne sans faire bouger les cours.
Les wallets à signature unique vidés étaient inactifs depuis des années, mais le bug du firmware sous-jacent était actif depuis mars 2021, avec aussi une exposition des clés de paper wallets et des masques de fractionnement de seed.
Environ 500 adresses de portefeuille ont été vidées selon un schéma lié à un bug du firmware Mk3, portant le vol total à plus de 35 millions de dollars et poussant Coinkite à signaler tout appareil ayant généré un seed sous 4.0.1 ou…
La faille permet de récupérer des clés privées à partir de toute signature on-chain concernée. Les transactions EVM et les SDKs ne sont pas affectés, ce qui limite le périmètre d’impact.
CryptoSlate
TheBlock
CoinDesk
Crypto News