Coinkite, constructeur du portefeuille materiel Coldcard, a publie une mise a jour firmware (5.6.1 pour les Mk4 et Mk5, 1.5.1Q pour le Q) qui exige désormais que l’utilisateur fournisse manuellement de l’aléatoire : 50 lancés de dés, 128 piles ou faces, ou 65 pressions sur les touches. Cette mesure intervient après qu’un défaut de génération de nombres aléatoires a exposé les fonds des clients, permettant le vol de 594,5 BTC (plus de 100 millions de dollars) depuis 500 adresses le 30 juillet. Le probleme provenait d’une erreur de compilation qui redirigeait les appels RNG vers le générateur logiciel Yasmarang au lieu du matériel, reduisant l’entropie de 128 a 72 bits. La nouvelle version vérifie a chaque démarrage que le chemin matériel est emprunté et remplace Yasmarang par un Hash_DRBG SHA-256 conforme a la norme NIST SP 800-90A.
Source: Lire l’article original
