Défaut du micrologiciel Coldcard vide plus de 70 millions de dollars en bitcoin

Les utilisateurs de portefeuilles matériels ont perdu plus de 70 millions de dollars en bitcoin (BTC) après que des attaquants ont exploité une faille du micrologiciel Coldcard permettant de vider à distance les fonds. CoinKite a indiqué que certains appareils affectés ont généré des seeds de récupération avec une aléatoire logicielle au lieu du générateur de nombres aléatoires intégré au matériel. Le problème provenait d’un micrologiciel publié en mars 2021, et les versions plus récentes corrigent le bug, mais ne sécurisent pas les seeds de récupération générés sur les appareils affectés. Galaxy Research a suivi 1 082,65 BTC transférés depuis 1 196 adresses en environ 41 minutes. Changpeng Zhao a déclaré que les portefeuilles matériels peuvent présenter des bogues et a suggéré de répartir les fonds entre plusieurs portefeuilles, tout en notant que cette approche comporte des risques différents.

Pourquoi cela importe : une faille de génération de seed peut affaiblir la confiance dans l'auto-gestion lorsque les utilisateurs ne peuvent pas corriger les anciennes seed de récupération uniquement par une mise à jour du micrologiciel.

Baissier, tension, orienté événement, peur.

Raison : Plus de 70 millions de dollars en bitcoin ont été volés à cause d'une faille du micrologiciel Coldcard, ce qui crée un stress sécuritaire direct pour les utilisateurs de auto-gestion.

Lors du piratage d'Atomic Wallet en 2023, les utilisateurs ont perdu plus de 35 millions de dollars après que de nombreux wallets aient été vidés sur plusieurs actifs. (Fortune) La principale différence réside dans le fait que l'incident Coldcard concerne des seeds de récupération générées par le firmware, tandis que l'affaire Atomic Wallet implique une compromission d'un wallet logiciel.

Le premier canal est la confiance en la auto-gestion, car une faille de génération de seed peut rendre le stockage hors ligne moins isolé des risques logiciels. Si davantage de virements de wallet apparaissent après des correctifs d'urgence, la préoccupation pourrait passer d'un bogue de firmware à un comportement plus large de remplacement de la seed de récupération. Le deuxième canal est le comportement de garde, car les utilisateurs pourraient réévaluer si le stockage sur un seul appareil crée un risque opérationnel concentré.

Opportunités : Si les mises à jour de Coinkite indiquent que les nouveaux retraits sont contenus, alors une stabilisation de la confiance dans l'auto-gestion peut constituer un signal d'entrée potentiel pour les utilisateurs surveillant l'exposition à l'infrastructure wallet.

Risques : Si des anciennes seed de récupération restent en usage ou si d'autres virements apparaissent, réduire la dépendance à une seule configuration de wallet limite les pertes potentielles en cas de nouveau prélèvement.