Changpeng Zhao (CZ) a un avertissement pour les détenteurs de Bitcoin. Les portefeuilles matériels peuvent aussi échouer. Il a parlé quelques jours après qu'un bug du firmware Coldcard a permis aux voleurs de découvrir des clés privées et de voler 70 millions de dollars.
Des chercheurs de Galaxy et Block ont suivi le vol. Les attaquants ont vidé 1 196 portefeuilles en 41 minutes le 30 juillet. Personne n'a touché un seul appareil.
CZ souligne les limites du stockage à froid
CZ, le fondateur et ancien PDG de l'échange Binance, dit qu'un portefeuille peut être ancien, fiable et pourtant cassé.
Lorsqu'il a posté, les premiers rapports évaluaient la perte à 38 millions de dollars. Le chiffre réel s'est avéré être presque le double.
« Même les portefeuilles matériels peuvent avoir des bugs. Même les vieux portefeuilles (avec une longue histoire) peuvent avoir des bugs. Comment atténuer ? Peut-être diviser vos fonds dans plusieurs portefeuilles ? Cela comporte un ensemble de risques différent. Rien n'est à 100 %. Restez informé. Restez SAFU ! » a écrit CZ.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent
Son conseil était de répartir les pièces sur plusieurs portefeuilles. Il a également admis que cela apporte de nouveaux risques.
CZ a été franc dernièrement sur les appels qu'il a mal jugés. L'un d'eux était le marché des stablecoins qu'il a écarté, maintenant évalué à plus de 300 milliards de dollars.
Comment le bug du firmware Coldcard a rendu les graines devinables
Chaque portefeuille commence par un énorme numéro secret. Il s'appelle une graine. Chaque clé et adresse en découle. Ce numéro doit être aléatoire. Coldcard a utilisé une puce dédiée pour le rendre aléatoire.
Puis est venu une erreur de codage en mars 2021. Le travail est passé discrètement à une sauvegarde faible à la place. Cette sauvegarde s'appuyait sur le numéro de série de l'appareil et son horloge. Les deux peuvent être déterminés.
Ainsi, le nombre a cessé d'être énorme. Les ingénieurs de Block ont estimé la plage à environ quatre milliards d'options sur les modèles plus récents. Un ordinateur peut traiter cela.
Les voleurs ont simplement construit les graines eux-mêmes. Ils ont transformé chacune en adresses. Ensuite, ils ont scanné la blockchain publique à la recherche de correspondances financées.
Galaxy a cartographié les balayages. Chacun a payé exactement les mêmes frais, bien au-dessus de la normale. Aucun n'a laissé de monnaie derrière. C'est un logiciel, pas une personne.
« L'événement complet s'étend sur six blocs et 41 minutes. Trois blocs intermédiaires ne contiennent aucune activité de balayage, ce qui suggère que les transactions ont été diffusées par lots plutôt que diffusées en continu », ont indiqué les chercheurs de Galaxy.
Les propriétaires ne peuvent toujours pas tester leurs propres graines
Coinkite a expédié un firmware corrigé pour chaque modèle. Une mise à jour ne peut pas réparer une graine qui existe déjà.
Si la vôtre est exposée, vous avez besoin d'une nouvelle graine et d'un nouveau portefeuille. La couverture précédente de BeInCrypto sur le vol de Coldcard explique les étapes.
Deux choses aident. L'avis indique que 50 lancers de dés privés ou plus lors de la configuration maintiennent une graine forte. Un bon mot de passe ajoute un autre mur, le même écart signalé concernant le manque de support du mot de passe BIP39 sur les téléphones.
Il n'y a toujours pas de test que vous pouvez effectuer chez vous. Block liste également l'ancien Mk2 comme étant à risque. L'avis de Coinkite ne le nomme pas.
Les pièces volées n'ont pas bougé. Elles sont dans quatre portefeuilles.
Galaxy dit que d'autres balayages sont possibles tant que des graines faibles détiennent de l'argent. Block a retracé le voleur à travers un compte de données payant et a transmis ses découvertes aux autorités.
Bien que ce soit une année record pour les violations de crypto, celle-ci se distingue encore. Stocker une clé en toute sécurité était censé être la partie facile.
Source : BeInCrypto
