Coldcard n’est pas le scam que vous pensez. C’est pire.

La narration commune qui se forme aujourd’hui autour de l’exploitation du Coldcard est la suivante : les portefeuilles matériels sont instables, le mode d’entreposage des clés privées est une impasse, et c’est le moment où les investisseurs en Bitcoin abandonnent leurs clés privées pour se tourner vers les ETF. CoinDesk a présenté cette idée ce matin, dans ce contexte précis.

Cette narration est incorrecte, car elle confond une faille technique liée à l’approvisionnement avec une décision structurelle concernant la sécurité des portefeuilles numériques. Le problème plus profond est que l’industrie des portefeuilles numériques fonctionne sous des incitations de gouvernance qui dissuadent activement les vérifications cryptographiques nécessaires pour détecter les erreurs qui peuvent nuire aux utilisateurs.environ 38 millions de dollars.

Le Mécanisme

Ce qui s’est passé le 30 juillet n’était ni une modification du protocole Bitcoin, ni un problème dans la chaîne d’approvisionnement. Un attaquant a exploité une faille dans la génération de mots de passe à entropie faible dans le firmware de Coldcard, une faille qui remonte à…Mars 2021 – Version du firmware 4.0.1 pour le modèle Mk3Lors d’une migration de code en 2021 vers la bibliothèque libsecp256k1 de Bitcoin Core, la génération des clés de secrétisation de Coldcard a été modifiée silencieusement : le générateur aléatoire matériel a été remplacé par un générateur pseudo-aléatoire logiciel intégré dans MicroPython. Le code du générateur aléatoire matériel continuait à fonctionner, mais il était utilisé par erreur pour des opérations sans rapport. Le processus de génération des clés de secrétisation se basait donc sur l’état du dispositif et les paramètres temporels, plutôt que sur une vraie alérance.

Sur le Mk3, Coinkite estime que l’espace de recherche effectif est deenviron 40 bitsUn portefeuille BIP-39 correctement semé devrait contenir 128 bits – soit un écart de 88 bits. Cela signifie qu’il est 2^88 fois plus facile de le briser par force brute. En d’autres termes, c’est environ 309 septillions de fois plus simple que prévu.

Les modèles Mk4, Mk5 et Q se sont mieux sortis, car leurs elements de sécurité (SE1 et SE2) ajoutaient de l’entropie supplémentaire à l’état du générateur aléatoire. Coinkite estime que ces dispositifs possèdent 72 bits de sécurité – ce qui reste encore 56 bits en dessous du nombre souhaité de 128 bits. Cela signifie que la difficulté de brutes force est 2^56 fois plus faible, soit environ 72 quadrillion fois moins difficile. Ce n’est pas sûr, mais au moins, les risques sont moins graves.

L’attaquant s’est déplacé.environ 594 BTC (soit environ 37,8 millions de dollars à l’époque), provenant d’environ 500 portefeuilles.Les bitcoins ont été transférés dans une seule adresse de réception dans la fenêtre de 15 minutes du 30 juillet. Dès l’après-midi suivant, un tracker de BitcoinTalk indiquait qu’environ 1 083 BTC avaient été dépensés. De nombreuses portefeuilles concernées étaient restées inactives pendant des années, ce qui représente le pire scénario possible : le coût marginal pour l’attaquant de vérifier une mélange de clés de sécurité avec un portefeuille vide est nul, mais la récompense en cas de découverte d’un portefeuille contenant des pièces accumulées est énorme.

Coinkite ne considère pas que les portefeuilles soient en danger à cause de ce problème RNG seul, lorsque les utilisateurs les ajoutent.Au moins 50 lancers de dés indépendants pour fournir de l’entropie externe.En supposant que les rouleaux étaient justes et privés, car cette entropie extérieure était combinée avec le mot de passe généré par l’appareil, sans être affectée par le bug du générateur aléatoire. L’entreprise souligne également qu’un mot de passe BIP-39 solide et unique constitue un obstacle indépendant.

Le précédent

Ce n’est pas un problème isolé lié à l’examen du code d’une seule entreprise. Au début du mois, la même vulnérabilité – la faiblesse dans la génération des phrases de récupération dans les portefeuilles mobiles, survenue entre 2016 et 2018 – a été exploitée dans l’attaque « Ill Bloom ».Déduction de 3,1 millions de dollars provenant de 431 portefeuilles.Deux échecs liés à l’entropie dans le même mois, différés entre eux en fonction des produits et des bases de données, mais avec un mécanisme identique : la génération de mots de départ imprévisibles, que l’attaquant dispose de suffisamment de ressources informatiques pour utiliser entièrement.

Ce qui est intéressant au sujet du timing, c’est que ces exploitations se sont produites à peu près en même temps. Cela indique que l’attaquant a effectué une vérification systématique des portefeuilles à entropie faible, tant ceux connus que ceux soupçonnés de présenter des faiblesses, dans l’ensemble de l’industrie. Ce n’était pas une découverte isolée. C’était plutôt un contrôle des stocks.

Coinkite a reconnu dans son rapport technique que son firmware open source devrait théoriquement être soumis à des revues externes. L’entreprise a souligné qu’elle avait récemment effectué des revues de code assistées par l’IA, mais que ces étapes n’ont pas permis de détecter ce bug. Elle suppose que l’attaquant a pu utiliser l’IA pour le trouver. Les attaquants et les défenseurs utilisent les mêmes outils. La différence est que les défenseurs sont payés pour maintenir le firmware, tandis que les attaquants sont incités à trouver la solution qui fonctionne.

La structure d’incitation

C’est là que le récit établi concernant cet incident commence à se défaire. Le point de vue de CoinDesk considère cela comme une preuve que la garde personnelle des clés est trop risquée pour les investisseurs ordinaires. Cela confond le protocole avec sa mise en œuvre. La cryptographie du Bitcoin – ECDSA sur la courbe secp256k1 – n’a pas été compromise. Ce qui a échoué, c’est un couche de middleware entre le protocole Bitcoin et l’utilisateur.

La vraie question est : pourquoi une entreprise qui se présente comme étant fière de sa sécurité, qui audite son propre code, qui utilise un firmware open source, et qui dispose d’une communauté de utilisateurs conscients de la sécurité, laisse-t-elle un bug en fonctionnement pendant plus de cinq ans ? La réponse est structurelle : le modèle économique du “cold wallet” encourage le développement de nouvelles fonctionnalités plutôt que l’amélioration de la sécurité. Les utilisateurs achètent des appareils et reviennent rarement. Les revenus proviennent des ventes nouvelles, et non de la sécurité continue des stocks existants. Il n’y a pas de revenus récurrent liés au maintien de la sécurité des clés générées en 2021. Le client qui a acheté un Mk3 en mars 2021 ne paie personne pour que cette clé reste sûre. Il paie lui-même, et c’est là le problème.

La mise en place de la gestion autonome des clés de sécurité transfère le fardeau de la sécurité au utilisateur. Cependant, cela ne résolve pas le problème de confiance – il ne fait que déplacer ce problème ailleurs. Au lieu de faire confiance à Coinbase ou BlackRock, l’utilisateur doit désormais faire confiance aux ingénieurs du firmware de Coinkite, à la bibliothèque standard MicroPython, et à l’intégration entre trois bases de code différentes.Le PDG de Coldcard a nié sur Reddit qu’il s’agisse d’une vulnérabilité affectant tout le système de portefeuilles.Et techniquement, il a raison : les utilisateurs qui suivent les instructions concernant le jeu de dés sont en sécurité. Mais le chemin par défaut pour l’utilisateur – générer une séquence de bits sur le appareil et la stocker – est corrompu.

Cette distinction est importante. Une vulnérabilité qui ne touche que les utilisateurs qui ont omis de suivre les procédures de sécurité recommandées est fondamentalement différente d’une vulnérabilité qui compromet le mode par défaut. Le mode par défaut de Coldcard a été brisé. Les utilisateurs qui ont suivi strictement les instructions indiquées pour le cas d’usage le plus courant se sont retrouvés exposés.

Le marché s’en fiche.

Bitcoin se négocie à environ 62 930 dollars – une hausse de 0,15 % aujourd’hui, une baisse de 1,2 % sur cinq jours. Il est donc environ 50 % en dessous de son niveau le plus élevé des 52 semaines, qui était de 125 500 dollars. L’indice de peur et de soif se situe à 27, ce qui indique une situation de grande peur. La capitalisation boursière totale du marché des cryptos s’élève à 2,16 billions de dollars. Aucun de ces éléments n’a montré de variation significative en réponse à l’exploit de Coldcard.

Le marché ne considère pas cela comme une menace pour le Bitcoin, car il n’y en a pas. Le registre du Bitcoin est indemne. L’attaquant a transféré des fonds qui appartenaient aux détenteurs de portefeuilles, et non à lui-même. C’est un problème lié aux utilisateurs, et non à une faille du protocole. Ceux qui perdent sont les détenteurs individuels de portefeuilles, pas les fonds eux-mêmes, ni les ETF, ni les marchands de marché. Ces entités utilisent des systèmes de garde d’actifs institutionnels, des arrangements à plusieurs signatures ou des dépositaires réglementés avec assurance. L’exploit de Coldcard est donc un problème relatif aux consommateurs.

Verdict : L’exploit Coldcard n’est pas une critique de la mise en place de systèmes de conservation de données par les utilisateurs eux-mêmes. C’est plutôt une critique de la structure d’incitation qui entoure ce système. La mise en place de systèmes de conservation de données exige que les utilisateurs aient confiance dans des couches d’implémentation qui n’ont aucun intérêt économique dans la sécurité de leurs décisions passées. Le bug en question était en cours de production pendant plus de cinq ans, car personne ne recevait de récompense pour le trouver. L’attaquant l’a découvert parce qu’il était économiquement logique de le faire. La prochaine vulnérabilité liée à l’entropie ne nécessitera pas une nouvelle découverte – elle nécessitera simplement de vérifier le prochain portefeuille dont personne ne vérifie les paramètres. Le problème est structurel, et non lié à cette situation particulière.

Ce qui changerait la situation serait une preuve d’un changement systémique : les fournisseurs de wallets adoptant des audits indépendants continus, liés à la sécurité actuelle du firmware utilisé, et non plus seulement des vérifications ponctuelles avant la sortie de nouvelles fonctionnalités. Jusqu’à ce que cette structure d’incitations existe, le chemin par défaut restera celui de l’attaque.