Coinkite, la société canadienne derrière le portefeuille matériel Coldcard, a averti les utilisateurs que les fonds Bitcoin pourraient être en danger si leur graine de portefeuille a été générée sur certaines versions de firmware affectées.
La société a déclaré que le problème affecte chaque version de firmware Mk3 depuis la version 4.0.1, publiée en mars 2021, et est lié à l'entropie générée par l'appareil utilisée lors de la création des graines.
Fonds Toujours à Risque
Les graines générées sur Mk4 et Mk5 avant la version de firmware 5.6.0, et sur Q avant la version 1.5.0Q, sont également affectées, bien que Coinkite ait déclaré que l'impact sur ces modèles est moins sévère mais reste sérieux. Selon la société, les graines affectées ont environ 72 bits d'entropie au lieu des 128 bits attendus. Selon la mise à jour, TAPSIGNER, OPENDIME et SATSCARD ne sont pas affectés car ils utilisent des bases de code différentes.
Coinkite a exhorté les utilisateurs concernés à migrer leurs fonds vers une nouvelle graine générée sur un appareil non affecté. La société a déclaré que les utilisateurs de Mk4 et Mk5 devraient d'abord mettre à niveau vers la version de firmware 5.6.0 ou ultérieure, tandis que les utilisateurs de Q devraient installer la version 1.5.0Q ou ultérieure avant de générer une graine de remplacement.
Les utilisateurs ont également été conseillés de sauvegarder et de vérifier la nouvelle graine, de confirmer une nouvelle adresse de réception sur l'appareil, et d'envoyer une petite transaction test avant de déplacer les fonds restants. Si le Mk3 est la seule option disponible, il a été suggéré d'utiliser temporairement une phrase de passe BIP-39 forte et unique et de vérifier soigneusement l'empreinte du portefeuille et l'adresse de réception.
Vol à Grande Échelle
L'avis est venu après que plusieurs rapports ont émergé le 30 juillet indiquant que des Bitcoins avaient été drainés des portefeuilles Coldcard. Atlas21 a rapporté qu'une opération automatisée a balayé 500 adresses à signature unique à travers quatre blocs consécutifs, de 960188 à 960191. Les transactions ont déplacé 1 324 UTXOs totalisant 594,5 BTC, ce qui vaut environ 38 millions de dollars aux prix actuels. Les preuves indiquaient que des clés privées faibles avaient été générées lors de la création des portefeuilles.
Aucun portefeuille multisig ou Taproot ne faisait partie des victimes.
La perte médiane était de 0,41 BTC, tandis que 110 victimes ont perdu plus d'un Bitcoin. La plus grande perte était de 29,9 unités de l'actif crypto, tandis que l'opération a coûté environ 0,044 unités en frais de transaction. Atlas21 a déclaré que le premier avertissement public provenait d'une victime sur Reddit, qui a dit que son Coldcard avait généré la phrase de départ de 24 mots en 2021 et que la graine n'avait jamais été saisie sur un ordinateur.
Malgré le drain massif, le prix du Bitcoin est resté inchangé alors qu'il continuait à se négocier près de 64 000 $.
Source : CryptoPotato
