#ColdcardFlawDrains594BTC : Le plus grand risque des crypto n'était pas une attaque, mais une randomisation faible
$BTC
Cet incident a vraiment attiré mon attention parce qu’il remet en question l’une des hypothèses les plus importantes dans le monde des crypto : les portefeuilles matériels ne sont aussi sûrs que la randomisation utilisée pour créer leurs phrases de récupération.
Environ 594 BTC (d’une valeur d’environ 38 millions de dollars) auraient été vidés de près de 500 portefeuilles Bitcoin en seulement 25 minutes après que des attaquants ont exploité une faille dans certaines versions du firmware Coldcard. Le problème n’a pas été causé par du phishing, des logiciels malveillants ou une phrase de récupération divulguée. Au contraire, les enquêteurs pensent qu’un bug dans la génération de nombres aléatoires (RNG) du portefeuille a rendu certaines phrases de récupération nettement plus prévisibles qu’elles ne devraient l’être.
Ce qui rend cet incident particulièrement important, c’est qu’il met en évidence une couche cachée de la sécurité du portefeuille. La plupart des utilisateurs se concentrent sur la protection de leur phrase de récupération de 12 ou 24 mots, mais très peu pensent à la manière dont cette phrase a été générée au départ. Si l’aléatoire derrière la graine est compromis, l’ensemble du modèle de sécurité peut être affaibli, même si le portefeuille ne touche jamais à Internet.
Le fabricant a exhorté les utilisateurs disposant de portefeuilles potentiellement concernés à transférer immédiatement leurs fonds vers un nouveau portefeuille généré avec un firmware mis à jour, plutôt que de simplement importer l’ancienne graine sur un autre appareil.
Mon avis
Ce n’est pas qu’une histoire de Coldcard : c’est un rappel que l’auto-conservation n’est aussi solide que les outils et les processus qui la sous-tendent. Les portefeuilles matériels restent l’une des façons les plus sûres de stocker du Bitcoin, mais la sécurité ne s’arrête pas à l’achat d’un appareil. Les mises à jour du firmware, une génération de seed appropriée, et la compréhension du fonctionnement de votre portefeuille sont tout aussi importants que de garder votre phrase de récupération hors ligne.
#Write2Earn
$BTC
Cet incident a vraiment attiré mon attention parce qu’il remet en question l’une des hypothèses les plus importantes dans le monde des crypto : les portefeuilles matériels ne sont aussi sûrs que la randomisation utilisée pour créer leurs phrases de récupération.
Environ 594 BTC (d’une valeur d’environ 38 millions de dollars) auraient été vidés de près de 500 portefeuilles Bitcoin en seulement 25 minutes après que des attaquants ont exploité une faille dans certaines versions du firmware Coldcard. Le problème n’a pas été causé par du phishing, des logiciels malveillants ou une phrase de récupération divulguée. Au contraire, les enquêteurs pensent qu’un bug dans la génération de nombres aléatoires (RNG) du portefeuille a rendu certaines phrases de récupération nettement plus prévisibles qu’elles ne devraient l’être.
Ce qui rend cet incident particulièrement important, c’est qu’il met en évidence une couche cachée de la sécurité du portefeuille. La plupart des utilisateurs se concentrent sur la protection de leur phrase de récupération de 12 ou 24 mots, mais très peu pensent à la manière dont cette phrase a été générée au départ. Si l’aléatoire derrière la graine est compromis, l’ensemble du modèle de sécurité peut être affaibli, même si le portefeuille ne touche jamais à Internet.
Le fabricant a exhorté les utilisateurs disposant de portefeuilles potentiellement concernés à transférer immédiatement leurs fonds vers un nouveau portefeuille généré avec un firmware mis à jour, plutôt que de simplement importer l’ancienne graine sur un autre appareil.
Mon avis
Ce n’est pas qu’une histoire de Coldcard : c’est un rappel que l’auto-conservation n’est aussi solide que les outils et les processus qui la sous-tendent. Les portefeuilles matériels restent l’une des façons les plus sûres de stocker du Bitcoin, mais la sécurité ne s’arrête pas à l’achat d’un appareil. Les mises à jour du firmware, une génération de seed appropriée, et la compréhension du fonctionnement de votre portefeuille sont tout aussi importants que de garder votre phrase de récupération hors ligne.
#Write2Earn