Coinkite publie un firmware corrigé après le bug de Coldcard ; l'IA probablement impliquée dans la violation

Bitcoin Magazine

Coinkite publie un firmware fixe après un bug Coldcard ; l'IA probablement impliquée dans la violation

Plus de mille bitcoins auraient été volés jusqu'à présent dans un piratage qui a commencé à être discuté sur les réseaux sociaux dans l'après-midi du 30 juillet. Coinkite, l'un des fabricants de portefeuilles matériels les plus réputés, a révélé avoir un bug critique dans la manière dont il générait des clés privées sécurisées pour ses portefeuilles matériels Bitcoin. Les experts de l'industrie pensent que l'IA a été utilisée dans la violation.

Les appareils Coldcard MK3 avec la version du firmware 4.0.1 (mars 2021) à 4.1.9 sont les plus touchés. Les graines de 12 ou 24 mots générées par l'appareil qui n'incluaient pas de lancers de dés générés par l'utilisateur ou une phrase de passe supplémentaire BIP 39 sont vulnérables.

Les utilisateurs qui correspondent à cette catégorie, qui ont des bitcoins dans un MK3 Coldcard et n'ont pas utilisé la fonction de lancer de dés pour une entropie supplémentaire ou la phrase de passe supplémentaire, devraient se considérer comme à risque et déplacer leurs pièces dès que possible des portefeuilles. L'écrivain technique de Bitcoin Magazine, Shinobi, a publié un guide sur le sujet, et Coinkite a également publié un guide et un avis.

La vulnérabilité était une ligne de code spécifique dans le firmware, une base de code logiciel de bas niveau qui contrôle le matériel. Ce firmware semble être mis à jour. L'avis de Coinkite a été mis à jour ce matin, conseillant aux utilisateurs de mettre à jour le firmware de l'appareil pour les trois puces, MK3, MK4 et MK5, y compris le Coldcard Q :

« Mis à jour le 31 juillet 2026 à 9h33 EDT : Le firmware corrigé est maintenant disponible. Les utilisateurs de Mk4 et Mk5 doivent mettre à jour vers la version 5.6.0 ou ultérieure. Les utilisateurs de Q doivent mettre à jour vers la version 1.5.0Q ou ultérieure. Pour Mk3, mettez à jour vers la version 4.2.0 ou ultérieure. »

Coinkite a également expliqué dans son avis que la mise à jour du firmware ne signifie pas que les clés privées et publiques générées par le firmware vulnérable avant cela sont désormais sécurisées ; ces clés restent vulnérables car elles ont été effectivement créées avec un mot de passe faible. Après la mise à jour du firmware, un nouveau portefeuille doit être créé, et les fonds doivent être envoyés sur la chaîne vers les nouvelles adresses pour sécuriser les fonds. Coinkite a écrit :

« La mise à jour du firmware ne change ni ne répare une graine existante. Si votre graine a été générée avant la version de firmware corrigée pour votre modèle, suivez les instructions de migration ci-dessous, sauf si l'exception d'entropie de dés indépendante s'applique à vous. »

Certains portefeuilles multisignatures peuvent être à risque

Peter Todd, contributeur principal et ingénieur en cybersécurité, a aujourd'hui abordé des cas particuliers pour les portefeuilles multisignatures qui utilisent un seuil de Coldcards pour sécuriser les fonds. « Cas d'exemple : vous avez un 2-sur-3, avec 2 Cold Cards, et un 3ème appareil non compromis. Si vous déplacez vos fonds, au moment où votre script est révélé pour la première fois – précédemment caché derrière le hachage d'adresse – l'attaquant sait maintenant suffisamment pour utiliser les 2 clés de cold card compromises pour voler vos fonds. »

La transaction qui révèle le script multisig pourrait être non confirmée, donnant aux hackers suffisamment de temps pour créer une transaction concurrente avec des frais plus élevés. Heureusement, de tels cas ont une solution : le pool de minage MARA peut aider dans ce cas avec leur service de minage de mempool privé, Slipstream ; « parce qu'ils promettent de garder votre transaction – et donc les clés publiques – secrètes jusqu'à ce qu'elles soient déjà dans un bloc. Réduisant considérablement la capacité de l'attaquant à voler les fonds », a déclaré Todd. Il a ajouté que « Si vous avez déjà réutilisé des adresses, cela n'est pas pertinent, et vous devriez simplement essayer de déplacer vos fonds dès que possible. Mais si vous ne l'avez pas fait, MARA pourrait être en mesure d'aider. »

Au-delà de la crise immédiate

NVK, l'un des co-fondateurs de Coldcard, a publié un long post sur X avec une analyse initiale au-delà des étapes de sécurité de base nécessaires pour sécuriser les fonds. Dans celui-ci, il a écrit que l'entreprise est « engagée à travailler avec les utilisateurs affectés qui souhaitent déposer un rapport de police, une demande d'assurance ou leur propre enquête », y compris « un résumé écrit de l'incident spécifique à votre perte et toutes les données de transaction que nous pouvons partager ».

Au-delà de la crise immédiate, NVK a souligné un changement technologique plus large alors que les capacités de piratage de l'IA commencent à changer les dynamiques et les attentes en matière de cybersécurité. Dans le post de blog, il a écrit :

« À tous les autres développeurs : nous croyons que c'est une réalité sobre du nouveau paradigme de l'IA. La révision de code assistée par IA peut désormais détecter des bugs latents à une vitesse qui dépasse même celle des experts les plus chevronnés de l'industrie. Si votre firmware est open-source ou a déjà été rendu public, supposez qu'il est déjà lu par des attaquants et des défenseurs. »

Le piratage et plus de 70 millions de dollars de fonds estimés volés au cours des 24 dernières heures constituent une prime efficace versée aux hackers qui sont maintenant susceptibles d'auditer chaque code de portefeuille disponible pour des vulnérabilités. Alors que l'industrie du Bitcoin et de la crypto en général a généralement fonctionné sous l'hypothèse que les hackers testeront leur code, le développement de modèles d'IA optimisés pour la cybersécurité accélère ces processus.

Des experts de l'industrie se sont réunis lors d'un long appel public X Spaces hier soir, discutant du sujet pendant de nombreuses heures. Au-delà des recommandations immédiates et des réponses aux questions des utilisateurs de Bitcoin tout au long des longs Spaces, une analyse de ce qui est susceptible de suivre dans les semaines à venir a également été discutée. D'autres fournisseurs de portefeuilles sont susceptibles d'être examinés, et en particulier les projets open source qui génèrent des matériaux de clé privée seront testés.

Les X Spaces n'ont pas été enregistrés, probablement pour préserver la vie privée de tous les participants à l'appel ; cependant, le sentiment initial suggère que les entreprises devront auditer leur code avec les derniers modèles de pointe, par souci de survie. Les derniers modèles d'IA orientés vers la cybersécurité d'Anthropic, OpenAI, Kimi K3 de Moonshot et d'autres sont déjà disponibles au public. De nombreuses entreprises de l'industrie du Bitcoin les utilisent déjà pour tester l'intégrité du code, mais certaines pourraient ne pas le faire, et la course pour trouver des vulnérabilités dans le code des portefeuilles sera certainement poursuivie, surtout dans les semaines à venir.

En fin de compte, aujourd'hui nous pleurons des pièces perdues, et un état d'introspection et de révision minutieuse se produit. Au-delà de ce piratage désormais historique, il y aura une industrie et une infrastructure de garde autonome open source qui seront probablement de plusieurs ordres de grandeur plus sécurisées, avec des leçons très difficiles apprises. Après tout, chaque hacker avec un agent IA teste probablement les défenses maintenant.

Portefeuilles multi-vendeurs, multi-clés et conventions

Les futurs portefeuilles à haute souveraineté, que ce soit au niveau de la vente au détail ou des entreprises, ne dépendront probablement d'aucun fournisseur unique. Les portefeuilles multisignatures, lorsqu'ils sont bien réalisés, peuvent répartir les risques de vulnérabilité entre différentes bases de code, équipes et matériels.

L'entropie générée par les utilisateurs était également un thème majeur dans les X Spaces discutés précédemment, avec l'entropie générée par le lancer de dés régulièrement évoquée comme une solution. Les Coldcards, ainsi que d'autres portefeuilles matériels comme Foundation Devices, guident les utilisateurs sur la manière d'ajouter correctement leur propre entropie ; de nombreux dés doivent être lancés, idéalement plus d'une centaine de lancers individuels. Une fois cela fait, cependant, les lancers de dés représentent une source de randomité non logicielle pour les portefeuilles qui sépare également les utilisateurs des risques de cas limites liés à l'entropie générée par logiciel ou matériel.

Les covenants, un fork doux populaire parmi une certaine niche de l'industrie Bitcoin, ont également commencé à être évoqués comme une étape supplémentaire pour renforcer l'industrie de l'auto-garde. Cette mise à niveau du consensus Bitcoin, qui pourrait être difficile à obtenir, pourrait donner aux utilisateurs d'importantes capacités de contrat intelligent, comme un portefeuille qui ne peut envoyer qu'à une liste blanche d'adresses, quelque chose qui n'est pas possible dans le script Bitcoin aujourd'hui.

Ce post Coinkite Releases Fixed Firmware After Coldcard Bug; AI Likely Involved In The Breach est apparu pour la première fois sur Bitcoin Magazine et est écrit par Juan Galt.

Source : BitcoinMagazine