Le PDG de Coinkite, NVK, a relancé un débat houleux sur la posture de sécurité de l’entreprise après avoir défendu les examens réalisés avant l’exploitation de la faille et affirmé qu’un nouveau modèle d’IA avait détecté un défaut dans la génération des graines que les auditeurs humains avaient manqué. Ce que dit NVK - Le 9 novembre, NVK a publié sur X que les travaux de sécurité de Coinkite comprenaient des examens du matériel et du micrologiciel, des outils liés à la génération de nombres aléatoires (RNG) et des contrôles de mise en production. Il a cité au moins deux évaluations de produits payées à des tiers (un examen du Mk4 en 2022 et du Q en 2024) et déclaré qu’au moins 15 examens externes ou travaux de recherche documentés avaient porté sur des composants Coldcard liés au RNG ou aux processus de mise en production avant l’exploitation de la faille. - NVK a également déclaré que l’examen du Cybersecurity Harness d’OpenAI par Rob Ham avait produit 85 pistes de vulnérabilité avant l’incident et que plusieurs avaient entraîné des corrections — mais que le défaut de génération des graines n’en faisait pas partie. « La vérité qui dérange, c’est qu’il a fallu un nouveau modèle d’IA pour trouver ce que les humains n’ont pas pu trouver », a-t-il écrit. Les réactions de la communauté Bitcoin - Le développeur Bitcoin Luke Dashjr a contesté ces propos, affirmant avoir signalé en privé des problèmes à Coinkite et les rendre désormais publics. Dashjr a précisé qu’il ne prétendait pas que chaque élément signalé constituait un bogue ou était exploitable, et que son examen était une vérification rapide, pas un audit complet. - Dashjr a spécifiquement contesté l’insinuation de NVK selon laquelle seule une IA avancée aurait pu découvrir le problème lié au RNG. - D’autres membres de la communauté ont remis en question la manière dont Coinkite avait géré les examens externes. Alex Waltz a accusé l’entreprise de décourager l’inspection du code ; un autre commentateur a fait valoir que des examens ponctuels du code complet diffèrent de l’assurance qualité continue et qu’il est plus facile de manquer « une aiguille dans une botte de foin » en l’absence de tests intégrés. - Les défenseurs de NVK ont fait remarquer que des examinateurs avaient déjà inspecté le système d’entropie sans reproduire la défaillance, et ont invité les critiques à fournir un rapport de bogue reproductible plutôt que des messages privés. Avertissements et enquêtes antérieurs - Des publications de James O’Beirne ont refait surface dans la discussion. O’Beirne a déclaré avoir commencé à examiner le micrologiciel Coldcard en mai 2025 pour retracer les sources d’entropie, avoir soulevé des préoccupations concernant la bibliothèque libngu et des constantes de repli logiciel codées en dur, et avoir suggéré de lier directement le logiciel à libsecp256k1. Il a dit ne pas avoir approfondi la question de manière rigoureuse et avoir reçu par la suite un signalement crédible distinct selon lequel quelqu’un avait averti Coinkite de problèmes d’entropie dès 2021 — ce qui signifie que l’entreprise a peut-être reçu plusieurs avertissements antérieurs. - L’analyse de TRM Labs du 5 août (citée par Galaxy Research) a estimé qu’environ 1 816 BTC avaient été dérobés à plus de 5 200 adresses en quatre vagues à partir du 30 juillet. La vulnérabilité remonte à une erreur de configuration de compilation datant de mars 2021, qui a sélectionné un générateur logiciel de nombres aléatoires faible ; sur certains appareils plus anciens, la force effective de la graine est tombée à environ 40 bits au lieu des 128 prévus, permettant aux attaquants de reconstituer les clés sans accès physique. - Des mouvements ultérieurs de fonds ont été signalés en septembre. Alex Thorn, de Galaxy Research, a suivi un attaquant de la troisième vague qui a échangé environ 10 % de ses bitcoins contre de l’Ether via THORChain. Thorn a également déclaré que l’identité de l’attaquant « pourrait être connue des forces de l’ordre », bien qu’aucune identification confirmée par le FBI ni récupération de fonds n’ait été signalée. Réponse et recommandations de Coinkite - La page de sécurité de Coinkite présente les informations publiées comme un rapport d’incident évolutif et indique qu’un rapport technique détaillé est toujours en préparation. La page distingue les vérifications indépendantes ciblées d’un audit complet de chaque binaire de micrologiciel corrigé, et recense des travaux tels que les tests du caractère aléatoire du matériel, les examens du code source et un processus de compilation reproductible. - Les versions actuellement recommandées sont la 5.6.3 pour Mk4/Mk5 et la 1.5.3Q pour Q. L’avis prévient que les mises à jour du micrologiciel ne peuvent pas réparer les graines déjà touchées. Étapes de migration : générer une nouvelle graine, créer une sauvegarde vérifiée et une adresse de réception, effectuer un petit transfert de test, puis transférer le reste des fonds. Pourquoi c’est important - Cet épisode met en lumière les tensions entre les audits humains traditionnels, les pratiques d’assurance qualité continue et les nouveaux outils automatisés — notamment les audits assistés par l’IA — pour sécuriser les portefeuilles matériels. Il souligne également les conséquences durables des erreurs de configuration et de chaîne d’approvisionnement : une petite erreur de compilation datant de 2021 aurait créé une vulnérabilité exploitée des années plus tard, entraînant des pertes importantes pour les utilisateurs. À suivre - La communauté attend le rapport technique détaillé de Coinkite et d’éventuelles nouvelles informations médico-légales des forces de l’ordre ou des sociétés d’analyse. Dans l’intervalle, les utilisateurs concernés sont invités à suivre les consignes de migration — générer de nouvelles graines et transférer leurs fonds — car les mises à jour du micrologiciel ne permettront pas à elles seules de sauver les graines compromises. Lisez d’autres actualités générées par l’IA sur : https://app.chaingpt.org/news