Responsable de la sécurité de Kraken : Une vulnérabilité Coldcard entraîne le vol de plus de 90 millions de dollars en bitcoins, les mécanismes de test du secteur des portefeuilles matériels nécessitent une réforme urgente.
Selon TechFlow, le 3 août, Cointelegraph rapporte que Coinkite, le fabricant du portefeuille matériel Coldcard, a révélé l'existence d'une vulnérabilité du générateur de nombres aléatoires (RNG) sur ses appareils, présente depuis mars 2021 et durant jusqu'à cinq ans. Cette vulnérabilité provient d'une erreur lors de la mise à jour du firmware, qui a routé la génération de la seed du portefeuille vers un générateur de nombres pseudo-aléatoires (PRNG) MicroPython moins sécurisé, au lieu du générateur de nombres aléatoires véritable (TRNG) initialement conçu. En raison d'un audit de code qui a seulement vérifié la présence du code TRNG sans confirmer s'il était réellement appelé, la vulnérabilité est restée indétectée pendant longtemps.
À ce jour, plus de 4 500 adresses ont été attaquées et près de 90 millions de dollars US en bitcoin ont été volés. Nick Percoco, directeur de la sécurité chez Kraken, a déclaré que cet événement devrait servir de "sonnette d'alarme" pour l'industrie des portefeuilles matériels, appelant à l'introduction de mécanismes de test tiers indépendants pour vérifier obligatoirement si les sources d'entropie réellement appelées par le firmware de production sont certifiées. Coinkite a suspendu toutes les expéditions d'appareils et détruit les stocks affectés après avoir confirmé la vulnérabilité, et a indiqué qu'elle coopérerait avec les autorités chargées de l'application de la loi de plusieurs pays pour poursuivre les responsables.
