Merde… ce type a perdu 1,6 million de dollars en bitcoin de son wallet, même si son wallet n’a jamais été connecté à Internet. Son Coldcard était placé dans une boîte de sécurité. La phrase secrète n’a jamais été partagée. Aucun lien de phishing, aucune capture d’écran divulguée, aucune autorisation aléatoire de dapp… Et pourtant, il a été vidé. Il affirme que la faille se trouvait dans le code qui a généré initialement la phrase secrète. En bref, une phrase secrète doit être complètement aléatoire. Mais si l’appareil la génère à partir d’un ensemble plus petit et plus prévisible, les attaquants n’ont pas besoin de votre wallet ou d’un accès physique. Ils peuvent simplement deviner des phrases possibles ailleurs jusqu’à ce qu’une d’entre elles ouvre un wallet réel. Ainsi, le wallet hors ligne n’a peut-être pas été « piraté » ultérieurement. La clé aurait pu être faible dès son création. C’est effrayant, putain… si on y réfléchit. Garder un wallet hors ligne protège une clé forte contre une fuite. Ça ne sert à rien si la clé elle-même était prévisible dès le départ. Mais j’ai une solution pour vous : si vous possédez une somme importante, une seule phrase secrète et un seul appareil restent un seul point de défaillance. La configuration la plus sûre est : - multisig 2 sur 3 - chaque phrase secrète générée indépendamment - différents fournisseurs de wallets matériels si possible - entropie supplémentaire vérifiée via des dés - alertes en lecture seule pour chaque transaction sortante Avec une multisig 2 sur 3 correctement mise en œuvre, une seule phrase secrète compromise ne peut pas déplacer les fonds. Et ne créez pas de fausse multisig en générant toutes les clés sur le même appareil ou en importants la même phrase secrète dans plusieurs wallets. N’entrez jamais votre phrase secrète sur un site web prétendant pouvoir vérifier si vous êtes concerné. Donc oui, la leçon ici n’est pas « le stockage hors ligne ne fonctionne pas ». C’est que 1,6 million de dollars étaient protégés par une seule clé, et une seule clé faible a suffi pour tout perdre.