Un défaut de firmware a désactivé la génération de nombres aléatoires sécurisés sur plusieurs générations de portefeuilles matériels Coldcard, alimentant un vol en cours qui a déjà drainé 594,48 bitcoins d’une valeur d’environ 38,3 millions de dollars. Le problème vient du firmware qui désactive le générateur d’aléatoire intégré au puce et utilise à la place le numéro de série de l’appareil et son horloge interne pour construire les clés, des informations entièrement prévisibles par un attaquant. Les appareils fonctionnant avec certains firmwares publiés depuis 2021 ne reçoivent pratiquement aucune aléatoire réelle, et une tentative de correction en 2022 s’est également révélée insuffisante. Coinkite recommande à tous les utilisateurs concernés de générer une nouvelle seed sur un matériel mis à jour et de transférer immédiatement les fonds, car les mises à jour du firmware ne peuvent pas annuler les dégâts causés par cette faiblesse.
Source: Lire l’article original
