Faille du RNG Coldcard : Coinkite révèle cinq ans de défaillance d’entropie après un vol massif de bitcoins

Ce que Coinkite a révélé

Coinkite a confirmé qu’une migration de micrologiciel en mars 2021 avait introduit une erreur d’intégration dans laquelle ngu.random se rabattait sur le générateur déterministe Yasmarang de MicroPython plutôt que sur le RNG matériel STM32 de l’appareil. Les graines produites sous les versions concernées puisaient donc dans une entropie nettement inférieure à celle prévue par la conception — environ 72 bits contre une cible de 128.

La distinction compte. Une entropie de 128 bits n’est pas explorable par force brute. 72 bits, c’est tout autre chose pour un attaquant bien doté face à un ensemble de cibles précis et énumérable.

Le siphonnage

Les informations publiées sur l’ampleur du vol varient selon les médias et selon la date à laquelle le décompte a été effectué, et Conisec rend compte de cette divergence plutôt que de retenir un chiffre. CoinDesk a fait état d’un siphonnage de 594 BTC en 25 minutes le 31 juillet. The Hacker News a évoqué environ 70 millions de dollars américains dérobés en 41 minutes. Crypto Briefing a avancé le chiffre d’environ 1 367 BTC — près de 89 millions de dollars américains — sur 4 585 adresses, en plusieurs vagues à partir du 30 juillet. Fortune a ensuite fait état d’un total de 116 millions de dollars américains.

Ces chiffres ne sont pas tant contradictoires que cumulatifs : les décomptes ont été effectués à différents moments d’un siphonnage en cours. Nous mettrons ce dossier à jour à mesure que les parties concernées publieront des totaux confirmés.

Le problème de la chronologie

Le détail le plus dérangeant tient à l’enchaînement des faits. Les informations disponibles indiquent qu’une part importante du vol a eu lieu le 30 juillet — le jour même du correctif, et plusieurs heures avant que l’avis de sécurité n’atteigne la plupart des utilisateurs. Ceux qui exploitaient la faille la connaissaient avant la publication.

C’est la tension permanente de la divulgation coordonnée : un correctif est lui-même un signal, et pour un défaut qui touche des clés déjà existantes, corriger ne protège personne rétroactivement. Un nouveau micrologiciel corrige la génération des graines pour l’avenir. Il ne peut pas ajouter d’entropie à une graine créée en 2022.

Ce que Conisec ne vous dira pas de faire

Coinkite a conseillé aux utilisateurs concernés de transférer leurs fonds vers des graines nouvellement générées, sauf si leur entropie avait été complétée depuis une source indépendante ou si une phrase de passe BIP-39 robuste était utilisée. Il s’agit de l’instruction de Coinkite à ses propres clients, et nous la rapportons comme telle. Conisec ne dit pas à ses lecteurs de déplacer des fonds — nous renvoyons vers l’avis du fabricant et laissons ses instructions parler d’elles-mêmes. Voir nos principes éditoriaux pour comprendre pourquoi.

Nous ne renverrons pas non plus vers un outil tiers de « vérification », de « migration » ou de « récupération ». Après une divulgation de cette ampleur, ces outils apparaissent en quelques heures, se positionnent bien dans les moteurs de recherche et constituent la seconde attaque. Contactez Coinkite par un canal que vous utilisiez déjà.

Pourquoi ce cas est différent

La plupart des incidents impliquant des portefeuilles matériels dans notre registre tiennent à un utilisateur qui approuve quelque chose qu’il n’a pas compris — la compromission de Ledger Connect Kit en est le cas le plus net. L’appareil s’est comporté correctement ; c’est l’humain qui a été trompé.

Ici, l’appareil ne s’est pas comporté correctement. La seule chose qu’un portefeuille matériel existe pour garantir — que votre clé a été générée de façon indevinable, à l’intérieur de l’appareil, hors de portée du logiciel — était fausse, et personne ne l’a su pendant cinq ans. C’est une défaillance de la chaîne d’approvisionnement au sens le plus littéral : le chemin de repli d’une dépendance a discrètement remplacé une garantie matérielle.