Avertissement Coldcard Mk3 après le transfert de 38 M$ en Bitcoin, mais la cause reste non confirmée

Pourquoi Coinkite a-t-il émis l'avertissement Coldcard ?

Coinkite a publié un avis de sécurité Coldcard le 30 juillet, avertissant les utilisateurs dont les seeds de portefeuille ont été générés sur un firmware affecté de transférer leurs fonds vers une seed nouvellement générée.

Le problème affecte toutes les versions du firmware Coldcard Mk3 à partir de la version 4.0.1. L'avis actuel de l'entreprise couvre également les seeds générées sur les appareils Mk4 et Mk5 avant la version 5.6.0 du firmware, ainsi que sur les appareils Q avant la version 1.5.0Q.

Pour les versions Mk4, Mk5 et Q concernées, Coinkite a indiqué que les seeds générées contenaient environ 72 bits d'entropie au lieu des 128 bits attendus. L'entropie fait référence à l'aléatoire utilisé lors de la génération d'une seed de portefeuille. Une entropie plus faible peut réduire le nombre de combinaisons de seeds possibles et potentiellement rendre les portefeuilles affectés plus faciles à attaquer.

Coinkite a déclaré que son enquête est en cours et qu'une revue technique formelle sera publiée ultérieurement.

Que s'est-il passé lors du balayage du portefeuille de 594 BTC ?

L'avertissement est apparu alors que des chercheurs en sécurité Bitcoin examinaient un balayage inexpliqué impliquant 594,48 BTC provenant d'adresses à signature unique.

Selon un rapport de Cointelegraph sur le vidage du portefeuille Bitcoin, 1 324 sorties de transaction non dépensées ont été balayées via 500 transactions dans une fenêtre de trois blocs. Environ 562 BTC ont ensuite été consolidés dans une autre adresse.

Les chercheurs ont suggéré qu'une faiblesse de l'aléatoire lors de la génération du portefeuille pourrait être une explication possible. Cependant, cela reste une hypothèse. Aucun rapport public n'a démontré comment les clés privées affectées ont été générées, quel appareil ou logiciel les a créées, ou si le problème de génération de seed Coldcard était impliqué.

L'avertissement Coldcard et le balayage de 594 BTC doivent donc être considérés comme liés dans le temps, mais il n'est pas encore prouvé qu'ils partagent la même cause. Une enquête distincte de crypto.news est parvenue à la même conclusion.

Que doivent faire les utilisateurs Coldcard affectés ?

Coinkite conseille aux utilisateurs affectés de générer une nouvelle seed sur un appareil exécutant un firmware corrigé, d'enregistrer et de vérifier la nouvelle sauvegarde, et de confirmer l'adresse de réception directement sur l'écran du portefeuille matériel.

Les utilisateurs doivent d'abord envoyer une petite transaction de test et confirmer que le nouveau portefeuille fonctionne avant de transférer le solde restant. L'ancienne sauvegarde de seed doit être conservée jusqu'à ce que toute la migration ait été achevée et vérifiée.

Une phrase de passe BIP-39 forte et unique peut ajouter une couche de protection indépendante, mais elle est différente du code PIN de l'appareil Coldcard. Coinkite recommande toujours de migrer vers une seed nouvellement générée, même si une phrase de passe a été utilisée.

Les utilisateurs ne doivent jamais saisir les mots de seed du portefeuille ou les phrases de passe dans un site web, un formulaire en ligne ou un appareil non fiable. Une migration d'urgence précipitée peut également créer des risques supplémentaires, notamment l'envoi de fonds vers une adresse incorrectement enregistrée.

Cela signifie-t-il que Bitcoin a été piraté ?

Les preuves disponibles n'indiquent pas une défaillance de la blockchain Bitcoin, des règles de consensus ou du protocole cryptographique.

L'enquête concerne plutôt la manière dont les logiciels ou matériels de portefeuille individuels ont généré les clés privées. Bitcoin peut continuer à traiter des transactions valides même lorsque la clé privée d'un utilisateur est exposée ou générée avec un aléatoire insuffisant.

L'incident soulève néanmoins des questions plus larges sur les normes d'autogarde Bitcoin. Les fournisseurs de portefeuilles pourraient subir une pression accrue pour divulguer leurs sources d'entropie, auditer le code de génération de seed, fournir des builds de firmware reproductibles et publier des directives plus claires sur les versions affectées lorsque des vulnérabilités sont découvertes.

Pour les utilisateurs détenant des soldes significatifs, des phrases de passe plus fortes, des arrangements multisignatures soigneusement conçus et des procédures de récupération claires peuvent réduire la dépendance à un seul appareil ou processus de génération de clés. L'objectif n'est pas de rendre l'autogarde plus compliquée, mais de rendre les hypothèses de sécurité critiques plus faciles à comprendre et à vérifier.

Suivez les marchés Bitcoin sur MEXC

L'enquête sur le portefeuille est un événement lié à la sécurité de la garde et n'établit pas en soi une défaillance du réseau sous-jacent de Bitcoin ni ne prédit une direction spécifique du prix du BTC.

Les participants au marché peuvent suivre le prix Bitcoin en direct et les données de marché, accéder au marché au comptant BTC/USDT, ou explorer les contrats à terme perpétuels BTCUSDT sur MEXC.

Le trading au comptant offre une exposition directe au marché BTC sur la plateforme, tandis que les contrats à terme perpétuels permettent aux utilisateurs de prendre des positions longues ou courtes sans détenir directement du Bitcoin. Les contrats à terme impliquent des risques de levier, de liquidation et de taux de financement et peuvent ne pas convenir aux utilisateurs inexpérimentés. Le trading via une bourse ne remplace pas non plus un plan indépendant d'autogarde et de sauvegarde de portefeuille.

Conclusion

L'avis Coldcard montre comment un problème de génération de seed de portefeuille peut créer des risques sérieux même lorsque le réseau Bitcoin continue de fonctionner normalement.

Pour l'instant, le balayage de 594,48 BTC reste inexpliqué et son lien avec Coldcard n'a pas été établi. La priorité immédiate est que les utilisateurs affectés suivent attentivement les directives officielles de migration. La question à plus long terme est de savoir si les fabricants de portefeuilles et l'écosystème Bitcoin au sens large adopteront des normes plus strictes en matière de transparence de l'entropie, d'audits de sécurité et de procédures de migration d'urgence.