🔒 Bug Coldcard : des seeds faibles générées depuis 2021, Coinkite exhorte les utilisateurs à déplacer leurs fonds immédiatement Moins de 24 heures après le vol de 594 BTC, Coinkite a publié un avis de sécurité confirmant une faille dans la génération de seeds sur plusieurs modèles Coldcard. Les seeds générées sur un Mk3 fonctionnant avec le firmware 4.0.1 (mars 2021) ou ultérieur ont un espace de recherche effectif estimé à environ 40 bits, rendant la reconstitution des clés une opération réalisable à l’échelle industrielle. Les modèles Mk4, Mk5 et Q sont également concernés, produisant des seeds avec environ 72 bits d’entropie au lieu des 128 attendus, avant les mises à jour correctives (5.6.0 pour Mk4/Mk5, 1.5.0Q pour Q). Coinkite avertit tous les utilisateurs concernés que « les fonds pourraient être en danger » et conseille de les déplacer immédiatement. Tapsigner, Opendime et Satscard ne sont pas affectés, car ils reposent sur des bases de code différentes. L’avis ne lie pas explicitement cette vulnérabilité au vol du 30 juillet, bien que le calendrier soit remarquable : le PDG de Coinkite, NVK, avait déclaré quelques heures avant l’avis qu’il n’y avait « aucune preuve de faille » dans le générateur de nombres aléatoires de l’appareil. Selon l’analyse technique de Coinkite, le bug a été introduit lors d’une migration en 2021 vers libsecp256k1, au cours de laquelle la source d’entropie matérielle a été effectivement désactivée. Comme l’entreprise le reconnaît : « Le choix cryptographique était solide. L’intégration ne l’était pas. » https://t.co/5ap9wxt53y