🚨 LES UTILISATEURS N'ONT PLUS AUCUN BITCOIN APRÈS LE HACK DE COLDCARD ! Coinkite a conçu Coldcard comme un wallet matériel exclusivement dédié au bitcoin afin d'éliminer la confiance logicielle dans la génération de la graine, mais une seule macro mal configurée a annulé cette garantie pendant cinq ans ! Block a identifié le défaut dans la configuration de production de Coldcard, qui désactivait le drapeau RNG matériel car Coinkite fournit son propre wrapper, sauf que la bibliothèque sous-jacente vérifiait si la macro existait, et non si elle était réellement activée. Cela a lié silencieusement les builds au générateur de nombres aléatoires par défaut de MicroPython, initialisé à partir de l'ID unique du processeur et de l'état du minuteur, sans collecter aucune entropie fraîche après l'initialisation. Le résultat pratique : Coinkite estime que l'entropie effective est d'environ 40 bits sur le Mk3 et environ 72 bits sur les Mk4, Mk5 et Q, contre 128 bits pour une graine BIP-39 standard de 12 mots. Le 30 juillet, un attaquant a exploité cette faille pour vider 1 196 adresses en 41 minutes, s'emparant de 1 082,65 BTC soit 70,2 millions de dollars. Coinkite a envoyé un firmware d'urgence le lendemain pour chaque modèle concerné, mais la correction ne prévient que les futures graines faibles. Elle ne fait rien pour une graine déjà générée avec l'ancien code, et restaurer cette ancienne graine sur n'importe quel wallet, corrigé ou non, transmet la faiblesse. La différence entre un propriétaire de Coldcard en sécurité et un autre qui ne l'est pas ne réside pas dans le fait qu'il a mis à jour son firmware. C'est que le firmware en cours d'exécution lors de la création initiale de sa graine a-t-il jamais été vulnérable ? Gardez toujours vos logiciels à jour et souvenez-vous que les vulnérabilités existent partout !