Coldcard Mk3 : alerte sécurité après le siphonnage de 594 BTC depuis 500 adresses

Coinkite, l'entreprise canadienne à l'origine du portefeuille matériel Coldcard, avertit que des fonds en bitcoin peuvent être exposés si la graine (seed) a été générée avec certaines versions de firmware. Le problème concerne l'ensemble des firmwares Mk3 depuis la version 4.0.1 publiée en mars 2021, et serait lié à l'entropie produite par l'appareil lors de la création des seeds. Risque toujours présent Coinkite précise que des seeds créées sur Mk4 et Mk5 avant le firmware 5.6.0, ainsi que sur le modèle Q avant la version 1.5.0Q, sont également concernées. L'impact y serait moins marqué que sur Mk3, tout en restant sérieux. Les seeds affectées ne disposeraient que d'environ 72 bits d'entropie, au lieu des 128 bits attendus. Selon l'éditeur, TAPSIGNER, OPENDIME et SATSCARD ne sont pas touchés, car ils reposent sur des bases de code différentes. Coinkite recommande aux utilisateurs concernés de migrer leurs fonds vers une nouvelle seed générée sur un appareil non affecté. Pour Mk4 et Mk5, il est conseillé de mettre à jour d'abord en 5.6.0 ou une version ultérieure ; pour le modèle Q, d'installer la 1.5.0Q ou plus avant de générer une seed de remplacement. Les utilisateurs sont aussi invités à sauvegarder et vérifier la nouvelle seed, confirmer sur l'appareil une nouvelle adresse de réception, puis effectuer une petite transaction de test avant de transférer le solde. Si un Mk3 reste la seule option disponible, Coinkite suggère d'utiliser temporairement une passphrase BIP39 robuste et unique, et de vérifier avec une attention particulière l'empreinte (fingerprint) du portefeuille ainsi que l'adresse de réception. Vol à grande échelle Cet avis fait suite à plusieurs signalements publiés le 30 juillet, faisant état de bitcoins vidés depuis des portefeuilles Coldcard. Atlas21 rapporte qu'une opération automatisée a balayé 500 adresses en signature unique (single-signature) sur quatre blocs consécutifs, de 960188 à 960191. Au total, 1'324 UTXO représentant 594,5 BTC ont été déplacés, soit environ 38 millions de dollars aux prix actuels. Les éléments disponibles pointent vers des clés privées fragiles générées au moment de la création des portefeuilles. Aucun portefeuille multisig ni Taproot ne figure parmi les victimes. La perte médiane atteint 0,41 BTC ; 110 victimes auraient perdu plus d'un bitcoin. La plus forte perte s'élève à 29,9 BTC, et l'opération aurait coûté environ 0,044 BTC en frais de transaction. Atlas21 indique que la première alerte publique provient d'une victime sur Reddit, affirmant que sa Coldcard avait généré une seed de 24 mots en 2021 et que cette seed n'avait jamais été saisie sur un ordinateur. Malgré l'ampleur de l'incident, le bitcoin est resté stable et s'échangeait toujours autour de 64'000 $.