Coldcard publie un firmware après le vol de 114M $ en Bitcoin et avertit que le correctif n'est pas une solution miracle

La différence entre un portefeuille corrigé et un portefeuille sécurisé n'est pas toujours évidente. Coldcard a publié un nouveau micrologiciel après un vol de 114 millions de dollars en bitcoin lié à une faille dans son portefeuille matériel, et l'entreprise trace explicitement cette limite. Selon le rapport original, la mise à jour fait suite à trois semaines d'examen qui ont révélé des bugs supplémentaires sans rapport avec l'exploit initial. Mais l'installation du micrologiciel ne rend pas sûr un portefeuille déjà compromis.

L'avertissement n'est pas une simple formalité. Une mise à jour du micrologiciel peut fermer un chemin logiciel, mais elle ne peut pas récupérer une phrase de récupération ou une clé privée qui a déjà été exposée. Si un attaquant a pu extraire des éléments de clé via un micrologiciel malveillant ou une autre vulnérabilité, les identifiants exposés restent dangereux, peu importe le nombre de correctifs arrivant par la suite. Cette distinction détermine si les utilisateurs doivent effectuer une mise à jour sur place ou abandonner l'appareil et transférer les fonds vers une nouvelle graine.

L'examen a révélé plus d'un point faible

L'examen de trois semaines de Coldcard a apparemment fait plus que se concentrer sur la seule faille à l'origine de la perte de 114 millions de dollars. La société affirme que le processus a révélé des problèmes sans rapport, ce qui suggère que l'audit a porté sur l'ensemble du code source du micrologiciel plutôt que de se contenter de publier un correctif ciblé. L'utilisation de l'IA pour aider à détecter davantage de bugs est notable car le code des portefeuilles matériels a une tolérance à l'erreur très faible. Un cas limite ignoré peut signifier la perte du capital, et pas seulement une mauvaise expérience utilisateur.