Bitcoin Magazine
RISQUE DE SÉCURITÉ COLDCARD : ACTION IMMÉDIATE REQUISE
Tout d'abord, oui, c'est un titre très accrocheur et complètement inhabituel. Il s'agit d'un véritable problème de sécurité. Voici l'annonce officielle de Coinkite elle-même publiée hier, veuillez lire et vérifier la véracité du problème là-bas.
TLDR : Coldcard MK3, MK4, MK5 et Q sont en cours de vidage. Un bug permet aux attaquants de trouver votre phrase de récupération sans aucune action de votre part. Seules les portefeuilles générés en utilisant la méthode de lancer de dés sont sûrs, à condition que vous ayez lancé au moins 50 dés. Si vous ne savez pas, ne vous en souvenez pas ou n'êtes pas sûr, déplacez immédiatement vos fonds.
C'est un problème critique qui nécessite une action immédiate. Si vous avez utilisé un Coldcard pour générer une phrase de récupération et n'avez PAS utilisé les 50+ lancers de dés recommandés pour fournir votre propre entropie après la fin de 2020, votre phrase de récupération n'est pas sécurisée. Elle a été générée sans une quantité suffisante de hasard et peut être brute forcée par un attaquant malveillant. Les portefeuilles sont actuellement en cours de vidage. Ce problème affecte également toutes les clés éphémères et les clés de session pour les fonctionnalités Clone Coldcard ou Key Teleport, et les graines BIP 85 générées à partir d'une graine compromise. VOUS DEVEZ TOUJOURS DÉPLACER VOS FONDS.
Cette attaque est activement exploitée, avec environ 1000 BTC observés en mouvement sur la chaîne liés à la vulnérabilité.
Respirez et détendez-vous. Vous devez déplacer vos fonds vers une nouvelle graine de mots, ou une graine de mots générée par un appareil différent, afin de sécuriser vos fonds.
– Si vous avez un autre portefeuille matériel qui n'est pas un Coldcard, envoyez-y vos fonds. C'est le moyen le plus rapide et le plus simple de les mettre en sécurité.
– Si vous n'avez pas d'autre portefeuille matériel et que vous n'avez qu'un Coldcard, générez une phrase de passe en utilisant AU MOINS six mots de graine de la liste de mots BIP 39. Utilisez ce guide pour sélectionner vos mots pour la phrase de passe,ne les choisissez PAS vous-même. Vérifiez l'empreinte de votre portefeuille (ou une adresse), éteignez votre appareil, redémarrez-le et saisissez à nouveau la phrase de passe. Confirmez que l'empreinte (ou l'adresse) correspond, et envoyez vos fonds vers le portefeuille de la phrase de passe.Ce n'est pas une solution permanente. Cela vous donne simplement suffisamment de sécurité pour qu'un attaquant ne puisse pas forcer vos clés en quelques jours, et vous pouvez générer une nouvelle graine sans être dans un état de panique.Assurez-vous que votre phrase de passe est écrite en toute sécurité.
– Si vous n'avez pas d'autres options, ou si vous n'êtes pas à l'aise avec l'utilisation de l'appareil, le portefeuille Nunchuck est disponible sur mobile et desktop. Prenez votre temps, ne vous précipitez pas trop vite, et assurez-vous que toutes vos sauvegardes sont effectuées correctement. Après avoir vérifié les sauvegardes, envoyez vos fonds à ce portefeuille. Si vous gérez des sommes importantes, Nunchuck prend en charge le multisig. Vous pouvez en créer un en utilisant plusieurs appareils. Blockstream Green et Bluewallet sont deux autres options pour les portefeuilles logiciels.
Une fois que vos fonds sont sécurisés, prenez une minute et détendez-vous. Les Coldcards sont toujours sûres à utiliser tant que le mot seed est généré de manière sécurisée. Un correctif de firmware a été publié ici. Tout mot seed généré après cette mise à jour du firmware devrait être sécurisé (et vous pouvez également utiliser l'option de lancer de dés). Si vous avez transféré vos fonds vers un portefeuille chaud, ou quelque chose de moins sécurisé, votre Coldcard est sûre à utiliser après avoir appliqué la mise à jour du firmware et généré un nouveau seed.
Une fois que vous avez sécurisé vos propres fonds, arrêtez-vous et faites le point. Contactez proactivement toute personne que vous connaissez qui pourrait utiliser une Coldcard qui était vulnérable lors de la génération de son seed. Informez-les du problème, et si nécessaire (et si vous en êtes capable), aidez-les à migrer leurs fonds. Tout le monde ne suit pas les nouvelles Bitcoin régulièrement, donc beaucoup de gens pourraient ne pas être conscients qu'ils sont même vulnérables.
Ce post COLDCARD SECURITY RISK: IMMEDIATE ACTION REQUIRED est apparu pour la première fois sur Bitcoin Magazine et est écrit par Shinobi.
Source : BitcoinMagazine
