Le créateur de Coldcard affirme que l’IA n’a pas identifié le problème derrière le vol de 130 millions de dollars en bitcoins

Le piratage de Coldcard entraîne des pertes d’environ 130 millions de dollars pour un fonds de gestion autonome.

À propos130 millions de pertesIl est maintenant lié à un point faible récemment découvert dans les hypothèses relatives au stockage à froid. Le 30 juillet, un attaquant a vidé…1.196 adresses Bitcoin en 41 minutesOn estime que les utilisateurs de Coldcard ont investi 1,082.65 BTC, soit environ 70,2 millions de dollars à l’époque. Comme les utilisateurs ont investi dans des systèmes de conservation sécurisés, le piratage n’a pas seulement des conséquences liées à un vol de certains tokens.

Pourquoi cet événement est-il important maintenant

Il s’agissait d’une faille dans le firmware, et non d’une défaillance du système Bitcoin lui-même. Coinkite a rapidement mis en place un firmware de secours. Cependant, l’exploit reposait sur du code critique pour la sécurité, que l’IA n’a pas réussi à détecter. Cela souligne à nouveau l’importance de la surveillance des codes de l’IA par les équipes qui les testent. Pour les investisseurs, la question immédiate est de savoir si cela reste une simple probleme de produit, ou si cela devient un avertissement général concernant les marques qui ne se soucient pas de la sécurité de leurs produits.

La faille réside dans la génération des graines, et non dans la diffusion sur Internet.

Un erreur d’intégration en 2021 a transformé la randomité réelle en un espace de recherche plus restreint.

Dans uneErreur d’intégration du firmware en mars 2021Coldcard devait utiliser le générateur de nombres aléatoires du hardware STM32 pour générer les séquences de données, mais en réalité, le processus est passé par un générateur de nombres pseudo-aléatoires logiciel. Les chercheurs ont indiqué qu’un attaquant qui peut déterminer ou limiter l’identifiant unique du dispositif, l’état du timer, ainsi que l’historique des appels au générateur de nombres aléatoires, peut reproduire les flux de sortie candidates hors ligne. Ensuite, il peut vérifier ces adresses obtenues en utilisant les données publiques du blockchain.

Cela explique pourquoi les utilisateurs qui n’ont jamais partagé de seed peuvent toujours être exposés. Comme l’a dit Coinkite à TechCrunch, le problème réside dans…Une faiblesse dans la manière dont les portefeuilles Coldcard génèrent des utilisateursDes secrets… Le point essentiel est simple : la sécurité du périmètre est importante, mais le générateur de clés est ce qui compte vraiment.

La patch empêche l’apparition de nouvelles mauvaises graines à l’avenir, mais elle ne corrige pas celles qui ont déjà été produites.

Coinkite a envoyé le firmware d’urgence le 31 juillet. Cependant, l’entreprise a précisé que l’installation de ce firmware ne permet pas de réparer un jeton existant. Restaurer un jeton ancien avec un firmware corrigé ou via un autre portefeuille entraîne les mêmes faiblesses. Si un jeton a été généré avec le code vulnérable, la solution appropriée est de générer un nouveau jeton et de transférer les fonds.

Pour les traders, cette distinction est importante. Si la vulnérabilité peut affecter plusieurs comptes liés à un matériel de sécurité prévisible, le problème ne concerne pas seulement un utilisateur ou une seule transaction.

La confiance en la capacité à gérer soi-même les choses est désormais une variable sous pression.

Les portefeuilles hardware sont importants, car ils permettent une gestion autonome des fonds. Les portefeuilles traditionnels sont considérés comme l’une des méthodes les plus sûres pour protéger les actifs numériques. C’est pourquoi cette fuite a des conséquences au-delà de la couche de base du Bitcoin : l’exploit a eu lieu dans le logiciel de portefeuille, mais cela nuit néanmoins à la confiance dans le modèle de gestion autonome des fonds en général.

Une partie de cette propagation est déjà visible en ligne, avec des utilisateurs qui se demandent si…Le livre de comptes est sécurisé.Et on encourage les autres à quitter Coldcard. L’incident se produit également dans une atmosphère tendue…Plus de 200 astucesCet année, des entreprises de cryptomonnaies ont été ciblées, ce qui a entraîné des pertes de plus de 950 millions de dollars.

Que regarder ensuite

• Le récit soutenu :Coinkite a déclaré que ce problème n’était pas spécifique à un seul produit. Il a également alerté les entreprises qui utilisent l’IA pour la vérification des codes critiques en matière de sécurité à examiner plus attentivement les limites des modules et des composants logiciels.
• Réaction du marché :Que les détenteurs considèrent cela comme une faille de mise en œuvre réparable, ou bien comme une preuve que la marque de sécurité proprement définie a dépassé les véritables garanties de sécurité.
• Le contexte plus large :Pression constante dans tout le secteur, avecPlus de 200 astucesEt neuf chiffres concernant les pertes déjà enregistrées cette année.

Pour l’instant, le point clair est que cela se rapporte au processus : cette erreur de intégration peut affaiblir la confiance au sein d’une catégorie entière, même si la blockchain sous-jacente reste intacte.