Faille sur le Coldcard Mk3 : 594 BTC potentiellement exposés

Coinkite a émis une alerte de sécurité concernant le portefeuille matériel Coldcard Mk3 : les "seeds" (phrases de récupération) créées sur des appareils tournant sous le firmware 4.0.1 et versions ultérieures pourraient présenter un risque. La plage concernée irait jusqu'au firmware 5.0.3, dernière version prenant en charge le modèle Mk3. Selon l'analyse préliminaire de l'entreprise, les modèles plus récents (Mk4, Q et Mk5) ne seraient pas affectés. L'alerte intervient après l'observation d'un mouvement coordonné d'environ 594,5 BTC depuis 500 adresses en "single signature" (une seule clé). Au cours actuel, cela représente près de 38 millions de dollars. Sur X, Rob1Ham a indiqué que les fonds avaient transité sur les blocs Bitcoin 960188 à 960191. Coinkite n'a pas confirmé de lien direct entre ces transferts et la faille, et les chercheurs n'ont pas, à ce stade, établi que les sorties de fonds proviennent du problème du Mk3. Le point d'attention porte sur le processus de génération des seeds. Certains experts en sécurité évoquent une hypothèse de manque d'aléa (randomness) lors de la création, possiblement lié à un générateur de nombres aléatoires (RNG) trop faible, au niveau d'une bibliothèque logicielle ou d'un composant sécurisé. La cause exacte reste en cours d'investigation. Le développeur Bitcoin James O'Beirne recommande aux utilisateurs disposant de portefeuilles à clé unique générés sur des Mk3 concernés entre 2021 et 2023 de déplacer rapidement leurs fonds. Il rappelle des mesures de renforcement comme l'utilisation d'une passphrase BIP39, des seeds générées aux dés et des configurations multisignatures. Coinkite conseille aux utilisateurs potentiellement touchés de créer un nouveau portefeuille avec une passphrase BIP39 robuste, puis de transférer les fonds vers de nouvelles adresses. L'entreprise insiste sur la vérification des sauvegardes et des adresses avant de finaliser la migration et met en garde : une migration précipitée peut créer de nouveaux risques. Pour les utilisateurs avancés, Coinkite mentionne aussi la possibilité de générer une seed de remplacement sur certains firmwares du Mk3 via une méthode dédiée au lancer de dés, nécessitant au moins 99 lancers indépendants afin de produire l'entropie sans dépendre du RNG de l'appareil. Le dossier reste en examen pendant que Coinkite poursuit son analyse technique. Des chercheurs on-chain évaluent également si d'autres transactions pourraient être liées au même événement. Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil financier. CoinCryptoNewz ne peut être tenu responsable d'éventuelles pertes. Effectuez vos propres recherches avant toute décision financière.