Coinkite a publié des mises à jour de son logiciel pour les portefeuilles matériels Coldcard afin de corriger les vulnérabilités dans la génération de phrases de seed révélées par une exploitation d'un montant de 112 millions de dollars en août.
La mise à jour, version 5.6.1 pour les dispositifs Coldcard Mk4 et Mk5 ainsi que version 1.5.1Q pour le Coldcard Q, stipule que de nouvelles clés de seed doivent incorporer de l’entropie fournie par l’utilisateur, en complément de la randomisation générée par le dispositif. Les utilisateurs doivent fournir une entrée via au moins 65 entrées clavier, 50 lancers de dés ou 128 lancers de pièce, puis mélanger cette entrée avec la randomisation générée par les éléments sécurisés et le générateur de nombres aléatoires du dispositif. L’entropie combinée est utilisée pour créer des clés de portefeuille, ce qui garantit que les clés privées resteront imprévisibles même en cas de panne d’une seule source d’entropie.
Coinkite a exhorté des mises à niveau immédiates, soulignant que les phrases de seed existantes restent vulnérables et doivent être remplacées avant le transfert des fonds. L'attaque, révélée dans un rapport du 14 août de Galaxy Research, a entraîné des pertes confirmées de 1 778 Bitcoin (BTC), ce qui en fait le troisième plus grand vol de crypto de l'année 2026, selon les données de DefiLlama.
La mise à jour du firmware du 31 juillet avait déjà corrigé les problèmes de génération de clés pour les portefeuilles nouvellement créés. La dernière version fait suite à une revue de sécurité de trois semaines et introduit de nouvelles mesures de sécurité, notamment des protections contre les transactions et les ports USB. Les vecteurs d'attaque liés aux ports USB compromis sont atténués par la ré-authentification des transactions immédiatement avant leur signature. Le firmware ajoute également des vérifications générales RNG, un test au lancement pour confirmer l'utilisation correcte des composants matériels et restreint les téléchargements USB aux sorties les plus récentes de l'appareil, tout en exigeant des sessions cryptées.
Les paramètres par défaut bloquent désormais certains modes de hachage de signatures Bitcoin qui permettent aux sorties des transactions de rester modifiables.
Parallèlement, la société de sécurité blockchain Coinspect a lancé Unlukey, un outil gratuit permettant de détecter les portefeuilles générés à partir de phrases de seed de faible sécurité. Cet outil vérifie les adresses publiques à l’aide d’un Dataset de seeds faibles connus, la version initiale se focalisant sur les faiblesses de génération de seed liées à l’exploit Coldcard. Un bug du firmware de mars 2021 avait réduit la force du clef de 128 à 40 bits sur certains portefeuilles, les rendant vulnérables aux attaques de brute force sans accès physique, selon TRM Labs.
