Une faille critique dans le micrologiciel des signeurs materiels Coldcard a detourné la generation de graines vers un générateur de nombres pseudo-aleatoires faible au lieu de la source d’entropie materielle, reduisant l’entropie effective a environ 40 bits sur certains modeles. Les attaquants ont déjà vidé 4 585 adresses, causant pres de 90 millions de dollars de pertes selon Galaxy Research, et l’attaque se poursuit a ce jour. Le defaut existait dans un micrologiciel publiquement accessible depuis mars 2021, et Coinkite avait retire la licence libre du code deux ans plus tot. Le cas Coldcard illustre qu’aucun modele de licence ne protege contre les audits assistes par IA : tout code distribue est lisible ou le deviendra, et la securite doit desormais reposer sur la discipline du developpement plutot que sur le secret du code.
Source: Lire l’article original
