Les utilisateurs de Coldcard sont invités à migrer urgemment leurs phrases secrètes après que des attaquants aient vidé un montant estimé à 88,6 millions de dollars Un avertissement de haut niveau a été diffusé aux utilisateurs de portefeuilles matériels Coldcard le 1er août, après qu’une analyse sur chaîne ait lié plusieurs vagues de vols à des phrases secrètes créées par un micrologiciel Coldcard vulnérable. Mishaboar, contributeur de Dogecoin, a demandé à tous ceux ayant déjà utilisé un appareil Coldcard de « migrer immédiatement vos fonds vers un nouveau wallet » et de ne pas réutiliser l’ancienne phrase secrète ni saisir les mots de récupération sur un ordinateur connecté à Internet. Ce que les chercheurs ont découvert - La dernière analyse sur chaîne de Galaxy Research a identifié trois vagues d’attaques suspectes ayant transféré ensemble 1 367,05 BTC (environ 88,6 millions de dollars) hors de 4 585 adresses. Ce chiffre est une estimation observée, encore non confirmée par Coinkite, les forces de l’ordre ou tous les utilisateurs concernés. - La plus grande vague a retiré 1 082,65 BTC de 1 196 adresses en environ 41 minutes le 30 juillet. Une vague ultérieure a saisi environ 208 BTC provenant de 1 912 adresses, avec une moyenne par adresse tombée à légèrement plus de 0,1 BTC — ce qui suggère que les attaquants ont déplacé leur focus des portefeuilles à gros montants vers de nombreux petits portefeuilles. - Galaxy a indiqué que chaque vague présentait une cohérence interne avec un seul opérateur, mais n’a pas pu prouver que toutes les vagues étaient gérées par le même acteur. La troisième vague utilisait des techniques de collecte différentes (adresses de destination distinctes, regroupement de plusieurs victimes dans une seule transaction et vérification uniquement du chemin de dérivation par défaut). - Galaxy a également averti que ses modèles connus ne détecteront pas tous les vols — d’autres attaquants pourraient effectuer des transactions valides sans répéter les frais observés, les formats d’adresses ou les méthodes de collecte. Quels modèles et micrologiciels Coldcard sont concernés - L’avis de Coinkite limite le problème aux phrases secrètes créées sur : - Les appareils Mk2 et Mk3 sous micrologiciel v4.0.1 à v4.1.9 - Les appareils Mk4 et Mk5 avec un micrologiciel antérieur à la version standard v5.6.0 ou Edge v6.6.0X - Coldcard Q : corrigé dans la version standard v1.5.0Q et Edge v6.6.0QX - Les appareils Mk1 ne sont pas concernés par cette régression du micrologiciel. TAPSIGNER, OPENDIME et SATSCARD ne sont pas affectés car ils utilisent des bases de code différentes. - Coinkite affirme que son enquête est en cours et publiera un rapport technique formel. Cause racine technique - L’équipe ingénierie et sécurité Bitcoin de Block a identifié la faille comme une erreur d’intégration du micrologiciel : lors de la génération des phrases secrètes, les versions affectées utilisaient une fonction de secours déterministe MicroPython au lieu du générateur matériel de nombres aléatoires STM32. Sur les Mk2 et Mk3 en micrologiciel v4, cette fonction de secours ajoutait essentiellement aucune entropie cryptographique. Les modèles plus récents ont reçu une resemence limitée via élément sécurisé, mais les anciennes phrases secrètes restaient faibles. - Block souligne qu’il s’agit de son analyse technique actuelle et qu’il n’a pas testé empiriquement chaque appareil. Ce que les utilisateurs doivent faire maintenant - Ne réutilisez pas votre ancienne phrase secrète Coldcard. Générez une toute nouvelle phrase secrète sur un appareil mis à jour ou un autre wallet. - Installez le micrologiciel corrigé de Coinkite pour votre modèle avant de créer toute nouvelle phrase secrète. - Enregistrez et vérifiez votre nouveau sauvegarde, vérifiez l’adresse de réception sur l’écran de l’appareil, puis effectuez d’abord une petite transaction de test. Ne transférez le solde restant qu’après confirmation que les fonds du test sont arrivés. - Conservez votre ancienne sauvegarde jusqu’à la confirmation complète de la migration. - Ne saisissez jamais une phrase secrète sur un ordinateur connecté à Internet ; conservez les copies hors ligne dans des emplacements sécurisés distincts pour réduire l’exposition au phishing, aux logiciels malveillants et aux erreurs de synchronisation cloud. - Mishaboar a réitéré qu’ajouter une phrase passe supplémentaire BIP-39 (25e/13e mot sur Coldcard) et des phrases passe fortes aide, mais Coinkite avertit qu’une phrase passe ne répare pas une phrase secrète déjà compromise. Les phrases passe courtes ou réutilisées restent vulnérables. Exception limitée et mises en garde - Coinkite a déclaré que les utilisateurs ayant ajouté au moins 50 lancers de dés impartiaux, indépendants et privés avant la génération des mots finaux de la phrase secrète (contribuant ≥128 bits d’entropie indépendante) pourraient être en sécurité. Toute personne ayant effectué moins de 50 lancers, ne se souvenant pas du nombre ou ayant exposé la séquence des lancers doit migrer. - Les correctifs résolvent la génération future des phrases secrètes mais ne peuvent pas ajouter rétroactivement de l’entropie aux phrases déjà créées. Déplacer une phrase secrète non sécurisée vers un autre wallet préserve la faiblesse. Commentaires et implications plus larges - L’investisseur en bitcoin Anthony Pompliano a noté que cet incident met en lumière à quel point la garde autonome sécurisée peut être techniquement exigeante — les attaquants ont reproduit les clés privées, mais le protocole Bitcoin lui-même n’a pas été compromis. - Les pertes ont également alimenté des discussions sur la garde institutionnelle et les ETF Bitcoin spot comme alternatives pour les investisseurs qui préfèrent ne pas gérer eux-mêmes les clés privées. Ce qui suit - Coinkite a publié des correctifs micrologiciels pour les modèles affectés et poursuit son enquête. Galaxy et d’autres chercheurs pourraient mettre à jour leur analyse d’adresses à mesure qu’ils identifient davantage de victimes. - Jusqu’à la fin des enquêtes, le montant de 88,6 millions de dollars reste une estimation sur chaîne et non un total confirmé. Si vous possédez un appareil Coldcard, consultez l’avis officiel de Coinkite pour votre modèle et mettez à jour le micrologiciel immédiatement avant de créer une nouvelle phrase secrète.
Bogue du firmware Coldcard lié au vol de 88,6 M$ de BTC — Les utilisateurs sont invités à migrer leurs seeds
ChainGPTPartager
Résumé
Un bogue du micrologiciel Coldcard a été lié à un vol de 88,6 M$ en BTC, des données sur la chaîne montrant 1 367,05 BTC prélevés sur 4 585 adresses. Ce défaut, lié à une fonction de secours déterministe RNG, a affecté les modèles Coldcard Mk2 à Mk5 avec certaines versions du micrologiciel. Coinkite a publié des correctifs et incite les utilisateurs à générer de nouvelles seed et à éviter de réutiliser les anciennes. Les chercheurs avertissent que les seed compromises ne peuvent pas être corrigées et que les utilisateurs doivent transférer leurs fonds et stocker leurs sauvegardes hors ligne. Avec le prix du BTC sous pression, les altcoins à surveiller pourraient connaître des changements alors que les traders réévaluent les risques.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.