L'exploitation de 116 millions de dollars de Coldcard relance le débat sur la sécurité de NVK

Débat sur l'exploitation de Coldcard

Le PDG de Coinkite, NVK, a ravivé le débat concernant l'exploitation de 116 millions de dollars liée à la génération de semences de Coldcard. Il a défendu les examens de sécurité réalisés par son entreprise, arguant qu'un nouveau modèle d'intelligence artificielle avait détecté un défaut que les examinateurs humains avaient manqué.

Dans un post publié sur X le 9 novembre, NVK a précisé que les travaux comprenaient des examens du matériel Coldcard, du firmware, des outils de génération de nombres aléatoires et des contrôles de publication.

Il a cité deux examens de produits tiers rémunérés : l'un portant sur le modèle Mk4 en 2022 et l'autre sur le modèle Q en 2024. Au moins 15 efforts documentés d'examen externe ou de recherche en sécurité ont été réalisés sur le matériel Coldcard, le firmware, les outils associés à la génération de nombres aléatoires (RNG) ou les contrôles de publication avant que le défaut ne soit découvert.

Réactions et contestations

Le développeur Bitcoin Luke Dashjr a contesté l'affirmation selon laquelle l'examen humain n'aurait pas pu découvrir le problème, affirmant qu'il avait partagé des résultats en privé avec Coinkite et qu'il les divulguait maintenant publiquement.

"Cela fait assez longtemps, et j'entends que NVK fait semblant que les humains ne pouvaient pas trouver le défaut de Coldcard. Il est donc temps de le rendre public."

Dashjr a averti qu'il ne prétendait pas que chaque problème était nécessairement un bug ou pouvait être exploité. Son objection portait sur la déclaration de NVK concernant l'IA : Dashjr a affirmé que l'idée selon laquelle seul un modèle sophistiqué pouvait identifier des problèmes avec le générateur de nombres aléatoires était erronée.

D'autres participants ont remis en question la manière dont Coinkite a géré l'examen. Alex Waltz a accusé l'entreprise et NVK de décourager les gens d'examiner le code. Kenneth a soutenu que l'assurance qualité continue diffère de la demande faite à une équipe d'examiner l'ensemble d'une base de code.

"Faire examiner votre base de code entière par une équipe n'est pas la même chose que d'avoir l'assurance qualité intégrée dans le processus."

Défense de NVK et préoccupations soulevées

Shinobi a défendu NVK, arguant que les examinateurs avaient examiné le système d'entropie sans identifier le défaut. Il a défié les critiques de produire un échec reproductible, affirmant qu'un message privé exprimant des préoccupations n'était pas équivalent à une divulgation de sécurité.

Les anciens posts de James O’Beirne ont refait surface dans l'échange. Écrivant le 4 août, il a déclaré qu'il avait commencé à examiner le firmware de Coldcard en mai 2025 pour établir d'où son générateur de nombres aléatoires obtenait de l'entropie.

"J'ai reçu un deuxième rapport crédible de quelqu'un avertissant Coinkite d'une mauvaise entropie en 2021, quatre ans avant moi."

Analyse des vols et mise à jour de sécurité

L'analyse du 5 août de TRM Labs a décrit environ 1 816 BTC volés de plus de 5 200 adresses à travers quatre vagues commençant le 30 juillet, citant le décompte en cours de Galaxy Research. Le rapport a retracé la vulnérabilité à une erreur de configuration de build de mars 2021 qui a sélectionné un générateur de nombres aléatoires logiciels faible.

La page de sécurité actuelle de Coinkite décrit son dossier publié comme un post-mortem vivant, tout en indiquant qu'un rapport technique détaillé séparé est en préparation. Les versions standard recommandées actuelles sont 5.6.3 pour Mk4/Mk5 et 1.5.3Q pour Q. L'avis indique que les mises à jour du firmware ne peuvent pas réparer les semences affectées existantes.

Ses instructions de migration appellent à une nouvelle semence, une sauvegarde vérifiée et une adresse de réception, un petit transfert de test, puis le mouvement des fonds restants.