🔐 VULNÉRABILITÉ : ⚠️ Défaut de Coldcard permet le vol de 594 BTC depuis des hardware wallets Une vulnérabilité de sécurité sur certains hardware wallets Coldcard a permis à un attaquant de vider 594 bitcoin:native, évalués à environ 38 millions de dollars, depuis environ 500 wallets en seulement 25 minutes. Le problème remonte au firmware 4.0.0, publié en mars 2021. Selon les découvertes de sécurité, certains appareils affectés, notamment les modèles Mk3 avec des versions ultérieures de ce firmware, n'ont plus correctement utilisé la génération aléatoire basée sur le matériel lors de la création des seeds de récupération. Au lieu de cela, ils pouvaient recourir à un processus de génération de clés basé sur le logiciel utilisant des données non secrètes du puce. Cela réduisait considérablement l'entropie des seeds et permettait à un attaquant de reconstituer les clés privées à distance, sans accès physique à l'appareil. L'attaquant ciblait des wallets à signature unique (single-signature), y compris certaines adresses inactives depuis des années, et a complété le transfert en quelques minutes avant de regrouper une grande partie des bitcoin volés sur une seule adresse. Coinkite, l'entreprise derrière Coldcard, a publié une alerte de sécurité et recommandé aux utilisateurs ayant généré leurs seeds sur des appareils affectés de transférer leurs fonds vers de nouveaux wallets créés avec un firmware mis à jour. L'entreprise a également indiqué que l'utilisation de dés supplémentaires ou de passphrases robustes lors de la configuration initiale pouvait réduire l'exposition. L'incident renforce un principe fondamental de la sécurité des hardware wallets : si la génération des seeds échoue, même les protections les plus avancées perdent une grande partie de leur efficacité.