Mise à jour concernant @COLDCARDwallet pour mes abonnés qui n’ont peut-être pas encore vu cette nouvelle : 👇 Si votre seed a été générée sur un Mk3 fonctionnant avec le firmware 4.0.1 à 4.1.9 (ceci aurait probablement eu lieu entre 2021 et 2023). Si vous possédez un ColdCard plus récent, vous êtes probablement également affecté, mais dans une moindre mesure. Lisez leur déclaration : https://t.co/rbC81X6wOz Autres réflexions : - Le problème ne concerne pas la sécurité de votre clé privée sur un wallet matériel. Le bogue se trouvait dans la création de cette clé privée (seed de 12 à 24 mots), qui s’est avérée NE PAS être suffisamment aléatoire. Même si votre configuration était isolée du réseau, cela n’avait aucune importance dans ce cas. - ColdCard est l’un des rares appareils qui vous permettent de générer votre seed vous-même (en lançant des dés). Si vous avez généré vous-même la clé privée, vos fonds sont en sécurité et ColdCard reste un dispositif sécurisé pour protéger cette clé. Toutefois, comme nous ne savons pas si l’entreprise survivra à cet événement malheureux, assurez-vous d’avoir un autre dispositif de signature matérielle au cas où il n’y aurait plus de mises à jour du firmware. - Si vous avez laissé ColdCard générer pour vous la clé privée « peu aléatoire », mais que vous avez protégé vos pièces avec une passphrase en plus des 12 à 24 mots, voici ce que vous devez faire : * Transférez vos fonds vers un autre wallet dès que possible. Plus la passphrase est forte (au moins 6 mots, ou peut-être 15+ caractères alphanumériques aléatoires), plus vous avez de temps avant qu’elle ne soit craquée, mais supposez qu’elle le sera, car c’est LA SEULE chose qui protège actuellement vos pièces. Contrairement au mot de passe de votre compte bancaire qui se bloque après 5 tentatives incorrectes, un ordinateur essaie actuellement des millions de combinaisons par seconde ! - Si vous utilisez les clés compromises générées par ColdCard dans une configuration MultiSig X sur Y, vous êtes peut-être ou non en danger immédiat. Cela dépend du nombre de clés compromises. Si c’est < X, vos fonds ne sont pas en danger, mais vous devez quand même remplacer ces clés. Si c’est ≥ X, vos fonds sont en danger et vous devez déplacer immédiatement vos fonds vers un autre wallet et reconfigurer votre MultiSig. - Si vous n’avez ni utilisé de passphrase ni lancé de dés, vos fonds sont probablement déjà disparus 😰 mais arrêtez tout et vérifiez immédiatement ! NOTE FINALE : Je suis profondément attristé pour toutes les personnes qui ont perdu leurs pièces, car beaucoup d’entre nous ont fait confiance à ColdCard en supposant qu’il offrait la plus haute sécurité. Je crois sincèrement que des incidents comme celui-ci sont les leçons malheureuses que nous devons traverser, mais qui rendent finalement le bitcoin plus fort et plus précieux. Si le bitcoin n’était pas cet actif inarrêtable, les pirates ne s’efforceraient pas autant de le leur voler en exploitant chaque erreur possible dans le code. Dans notre monde actuel des LLM, c’est plus vrai que jamais. - Soyez votre propre générateur de nombres aléatoires et commencez à créer votre propre seed ALÉATOIRE. - Protégez cette seed avec une passphrase. - Utilisez le dispositif dans une configuration MultiSig X sur Y !