Le firmware Coldcard 5.6.1 force l'entropie utilisateur dans chaque nouvelle graine après l'exploitation de 100 millions de dollars
Coinkite, la société derrière Coldcard, a expédié une mise à jour du firmware qui ne générera pas de nouvelle graine de portefeuille tant que le propriétaire ne fournira pas de l'aléa manuellement.
Cela signifie au moins 50 lancers de dés, 128 flips de pièces, ou 65 pressions de touches chronométrées, trois semaines après qu'un défaut dans son générateur de nombres aléatoires ait ouvert les fonds des clients aux attaquants.
Les deux lignes de dispositifs de Coldcard fonctionnent sur des pistes de firmware séparées, donc la version porte deux numéros, 5.6.1 pour le Mk4 et Mk5, et 1.5.1Q pour le Q, le modèle plus grand avec un clavier et un scanner QR.
Vérification de démarrage cible le défaut
Coinkite a déclaré que l'entrée est ajoutée en plus de l'aléa du dispositif provenant du STM32 TRNG et des deux éléments sécurisés.
Coldcard a été conçu pour tirer l'entropie de graine uniquement de son générateur matériel, mais Coinkite a retracé l'échec à une erreur de construction et de liaison qui a laissé le paramètre destiné à désactiver le chemin logiciel sans effet, envoyant l'appel de nombre aléatoire au PRNG Yasmarang de MicroPython, qui a intégré le chemin de graine en mars 2021.
Les graines affectées portent environ 72 bits d'entropie au lieu des 128 bits attendus après que 594,5 BTC ont été transférés de 500 adresses le 30 juillet.
Le firmware 5.6.1 vérifie maintenant au démarrage que l'appel de nombre aléatoire atteint le chemin matériel prévu, arrêtant le dispositif s'il échoue. Coinkite a remplacé Yasmarang par un Hash_DRBG SHA-256, spécifié dans le NIST SP 800-90A, et le sème au démarrage avec un digest complet de 256 bits provenant des deux éléments sécurisés, que le firmware précédent tronquait à 32 bits.
Le key mashing suit le design RNG à bouton-poussoir de Peter Todd, en hachant le timing des pressions sur le clavier à la résolution des cycles CPU. La première pression définit une référence, et chacun des 64 intervalles qui suivent est crédité de deux bits d'entropie.
Les anciennes graines doivent encore être migrées
« Installer cette mise à jour ne rend pas une graine vulnérable existante sûre », a écrit Coinkite, dirigeant quiconque dont la graine a pu être générée sur un firmware affecté entre 2021 et juillet 2026 à créer un remplacement et à déplacer leur Bitcoin (BTC). Mk2 et Mk3 ne sont pas concernés par cette version, et leur version fixe minimale reste à 4.2.0.
Un hôte USB compromis pourrait réécrire une transaction mise en scène après que le propriétaire l'ait approuvée, de sorte que la signature couvrait différentes sorties. L'appareil vérifie maintenant ces octets avant de signer et s'arrête avec un avertissement « Transaction modifiée ».
La nouvelle page de statut de sécurité de Coinkite répertorie quatre revues indépendantes, parmi lesquelles un test sur un appareil réel qui a observé huit lectures RNG matérielles pour une demande de graine de 32 octets et une reconstruction correspondant à chaque octet du firmware signé.
La société a noté que les vérifications ne constituent « pas un audit complet de chaque binaire de firmware ». Comme l'a rapporté CryptoPotato, les pertes confirmées ont dépassé 100 millions de dollars, Galaxy Research comptant 1 596 BTC provenant d'environ 7 300 adresses, et une quatrième vague suspectée emportant près de 449 BTC le 3 août.
Source : CryptoPotato