Rodolfo Novak, alias NVK, affirme qu’au moins quinze revues externes ont analysé le matériel, le micrologiciel ou le générateur aléatoire de Coldcard avant la découverte de la faille, mais qu’aucune n’aurait détecté le problème. Luke Dashjr et James O’Beirne déclarent avoir pourtant signalé en privé ou publiquement plusieurs faiblesses liées au générateur, tandis que Coinkite reconnaît l’absence d’audit indépendant complet des versions corrigées. Le défaut, introduit en mars 2021, a notamment permis à une première attaque de vider 1 196 adresses en 41 minutes, dans le cadre d’un vol total estimé à environ 1 800 BTC. Les détenteurs de Coldcard doivent créer une nouvelle phrase de récupération sur un appareil à jour, car la mise à jour du micrologiciel ne sécurise pas les anciennes phrases ; des experts en sécurité ont déjà restitué 52,37 BTC aux victimes.
Source: Lire l’article original
