🎤 Le silent crack de 40 M$ : À l'intérieur de l'exploitation d'entropie de Coldcard : Une vulnérabilité de sécurité catastrophique dans les wallets matériels Coldcard a conduit à une exploitation massive de 40 millions de dollars, touchant près de cinq cents wallets. En moins de trente minutes, un attaquant agressif a réussi à vider 594 bitcoin de wallets à signature unique ciblés sur trois blocs consécutifs valides. Des chercheurs en sécurité ont découvert que la cause racine était une entropie faible lors de la génération de la phrase secrète, due à un firmware défectueux publié en mars 2021. Au lieu d'une aléatoire matérielle réelle, les appareils vulnérables s'appuyaient sur des données système prévisibles telles que les horloges internes et les numéros de série des appareils. Cette faille dangereuse a réduit la force des clés cryptographiques d'une sécurité standard de 128 bits à un espace de clés prévisible de 40 à 72 bits au total. Avec un espace de clés réduit, des pirates sophistiqués ont utilisé la puissance de calcul brute pour forcer les phrases de récupération et voler des millions de crypto-monnaies non touchées. Le fabricant des appareils, Coinkite, a confirmé que la vulnérabilité affecte les appareils Mk3 et a exhorté tous les utilisateurs à transférer leurs fonds vers de nouvelles phrases secrètes immédiatement. Appliquer des mises à jour du firmware ne protégera pas les wallets compromis existants, car les clés générées restent fondamentalement défectueuses et vulnérables au vol. Les experts en sécurité recommandent fortement de transférer les actifs vers des configurations multi-signatures ou de générer de nouvelles phrases secrètes de wallet sur des appareils sécurisés et corrigés. Cette exploitation dévastatrice prouve que le stockage hors ligne (cold storage) n'est aussi sûr que le code logiciel sous-jacent qui génère vos clés privées.