Le vol massif de Bitcoin par défaillance entropie dans Coldcard expose les graines BIP39

Le 30 juillet, un attaquant a vidé 1 196 adresses Bitcoin en 41 minutes et a pris 1 082,65 BTC - environ 70,2 millions de dollars selon la valeur à ce moment-là - après avoir exploité une faiblesse dans la génération de semences Coldcard, l'unique sac matériel Bitcoin conçu par Coinkite. La recherche publique qui cartographie l'opération et suit la cause technique indique qu'il ne s'agit pas d'une fuite d'attaque physique directe, mais d'un échec d'intégration du firmware apparu en mars 2021 qui, dans certains bâtiments, a causé la production de semences à partir d'un générateur déterministe logiciel plutôt que d'un générateur aléatoire de nombre de puces STM32.

Concrètement, la chaîne d'erreur comprend une configuration de production qui désactive la macro MicroPython pour le RNG, la vérification dans la bibliothèque libngu de la simple existence de cette macro plutôt que de son activation effective, et l'initialisation du pseudorandom avec l'identificateur de puce unique et les enregistrements de minuterie sans collecter d'entropie fraîche. Le résultat: 12 mots BIP-39 graines avec entropies efficaces bien en dessous de la 128 bits attendue, estimé par Coinkite environ 40 bits dans certains modèles Mk3 et environ 72 bits dans d'autres modèles Mk4 / Mk5 / Q, ce qui réduit considérablement le coût pratique de générer des candidats de semences et de vérifier des adresses dans la chaîne publique.

Il est important de souligner que l'exposition dépend exclusivement de la version firmware utilisée lors de la création de la graine, et non de la version que l'utilisateur a installée plus tard. Les correctifs d'urgence publiés par Coinkite et les utilisateurs doivent les installer, installer le patch ne corrige pas une graine déjà générée avec un firmware vulnérable. La recommandation officielle est de générer une nouvelle graine avec firmware patché et de transférer les fonds; de restaurer l'ancienne graine dans le firmware corrigé ou dans une autre bourse reproduit la faiblesse.

Du point de vue de l'attaquant, cette défaillance est dangereuse parce qu'elle permet une approche hors ligne et dirigée : si un adversaire peut suivre ou connaître des données telles que l'ID de l'appareil, l'état du timing lors du démarrage ou l'historique des appels RNG, il peut reproduire les flux de candidats et dériver des mots pour vérifier si des adresses correspondent dans la chaîne publique. La recherche publique n'a pas encore permis de confirmer la reconstruction de la graine d'une des adresses pillées, et le modèle de « balayage » observé par certaines équipes (aucune transaction de changement au taux de h.30 sat / vB) permet d'identifier l'opérateur qui a déplacé des pièces, et non de démontrer la technique du vol en soi.

Pour tout détenteur de Coldcard, la priorité pratique est simple et urgente : vérifier si la graine a été créée dans une version affectée et, le cas échéant, migrer. Coinkite a placé des séries et des versions vulnérables dans l'avertissement (p. ex., Mk3 dans certains patchs 4.0.0-4.1.9, réglé à 4.2.0; Mk4 / Mk5 avant 5.6.0; Q avant 1.5.0Q, et les bâtiments « bord » avant des indices spécifiques). Si vous ne pouvez pas vérifier avec certitude que la semence est née dans un firmware sécurisé, génère une nouvelle graine avec firmware mis à jour et déplace les fonds vers lui. Ne pas restaurer ou exporter l'ancienne graine vers un autre appareil et ne pas rendre une graine sûre simplement parce que l'appareil a maintenant la dernière version installée.

Il y a des nuances clés pour les utilisateurs avancés: si la graine a été créée à l'aide d'au moins 50 spins privés et indépendants d'un six faces donné (recommandation de Coinkite de fournir une entropie physique) ou par l'intermédiaire d'une source externe de haute qualité, la graine peut ne pas être en danger pour cette défaillance particulière; en cas de doute, la migration reste l'option la plus sûre. Un mot de passe BIP-39 fort ajoute une couche que la seule liste de mots ne peut pas sauter, mais Coinkite continue de recommander de remplacer la graine même en utilisant la phrase de passe. Dans les configurations multi-sig, l'exposition n'existe que si Tous Les signataires partagent des semences qui sont générées de façon significative; le multisig avec des signataires hétérogènes demeure une atténuation solide.

Les implications opérationnelles pour l'industrie sont vastes. Les gardiens, les échangeurs et les gestionnaires de fonds devraient vérifier les procédures de génération de clés de volume et vérifier que les chaînes d'outils et les librairies tiers utilisent correctement le matériel RNG. La chaîne de confiance dans un portefeuille matériel est non seulement l'appareil physique, mais aussi l'intégration du firmware, des macros de compilation, et le traitement des enveloppes qui abstractionnent la RNG. Les audits de micrologiciels, les tests d'entropie et l'utilisation de mécanismes indépendants (p. ex. génération de semences avec dés physiques) devraient faire partie du cahier de lecture pour les systèmes à haute valeur.

Pour les utilisateurs finaux et les administrateurs Je recommande de vérifier la version de l'appareil et la date de création de la graine, d'installer le firmware d'urgence du fabricant, de générer une nouvelle graine dans ce firmware et de transférer tous les fonds, de vérifier de ne pas restaurer l'ancienne graine dans aucun environnement, d'utiliser des mots de passe forts comme défense supplémentaire et, si possible, de déployer plusieurs signatures avec différents fournisseurs pour minimiser le risque de défaillance commune. Il est également de bonne pratique de surveiller ses propres adresses et listes de transactions ayant des caractéristiques inhabituelles (comme celles mentionnées sans changement) et d'aviser les fournisseurs si des activités suspectes sont détectées.

Cet incident rappelle que la sécurité critique dépend à la fois de la robustesse cryptographique et du génie logiciel. Les utilisateurs de portefeuilles de matériel devraient considérer non seulement la réputation du fabricant, mais aussi les détails de mise en œuvre RNG et les pratiques de construction de firmware. Pour lire la documentation technique sur la norme de semences BIP-39 et comprendre pourquoi l'entropie compte, vous pouvez voir la spécification officielle dans GitHub: BIP-39 (spécification). Pour obtenir des renseignements et des conseils du fabricant, visitez le site Web de Coinkite / Coldcard : Coinkite / Coldcard. Si vous gérez des fonds importants, communiquez avec le soutien du fabricant et envisagez des conseils professionnels pour une migration sécuritaire.