Avis sur Coldcard

Ne générez pas de nouvelle phrase de récupération sur un Coldcard avant d'avoir installé le micrologiciel corrigé correspondant à votre modèle, et si votre phrase de récupération actuelle a été créée sur un Coldcard avant ce micrologiciel, transférez vos bitcoins vers une nouvelle phrase. L'avis de Coinkite est inhabituellement clair sur ce point, et la faille qui le motive a duré plus de cinq ans.

Ce qui s'est passé : en mars 2021, Coinkite a fait passer le code de courbe elliptique du Coldcard sur la libsecp256k1 de Bitcoin Core via une bibliothèque embarquée appelée libNgU. La cryptographie était saine ; la compilation ne l'était pas. Une erreur à l'édition de liens a fait que l'appel censé atteindre le générateur de nombres aléatoires matériel se résolvait vers le générateur logiciel généraliste de MicroPython, si bien que les phrases de récupération étaient tirées d'un aléa bien plus faible que prévu. Coinkite estime l'espace de recherche effectif à environ 40 bits sur les Mk2 et Mk3 et à environ 72 bits sur les Mk4, Mk5 et Q, pour une cible de 128 bits, et qualifie ces deux chiffres de préliminaires.

Deux exceptions comptent, et Coinkite énonce les deux. Une phrase de récupération créée avec au moins 50 lancers de dés équitables, indépendants et privés n'est pas exposée à ce problème à elle seule, car les dés ont fourni l'entropie que l'appareil n'apportait pas : le Coldcard hachait chaque lancer avec l'entropie de l'appareil, et 50 à 98 lancers apportent à eux seuls au moins 128 bits. Et une phrase secrète BIP-39 forte et unique constitue une barrière indépendante que l'entropie réduite de la phrase de récupération ne suffit pas à franchir, même si elle ne répare rien, si bien que Coinkite recommande malgré tout aux utilisateurs de phrase secrète de migrer dès que possible. TAPSIGNER, OPENDIME et SATSCARD utilisent des bases de code différentes et ne sont pas concernés.

Sur l'ampleur des pertes, l'avis de Coinkite ne donne aucun total en dollars ni en bitcoin. TRM Labs a publié son analyse comme la plus grande attaque de portefeuille matériel de 2026, l'estimant à environ 116 millions de dollars ; Galaxy Research avance le chiffre de 130 millions de dollars et ce chiffre ne cesse d'augmenter. À considérer comme deux estimations extérieures, et non comme un chiffre établi.

Ce qu'est le Coldcard, sous tout cela, n'a pas changé : un signataire bitcoin uniquement doté de deux éléments sécurisés de fournisseurs différents, d'un micrologiciel open source reproductible, de PIN de contrainte et de blocage, et de la signature par QR, microSD, NFC ou disque virtuel, toutes ces fonctions étant désactivées par défaut. Coinkite vend le Q à 289 $ et le Mk5 à 189 $, et indique que les nouvelles unités sont livrées avec un micrologiciel corrigé. Cette fiche est classée en vigilance en raison de la charge de migration que portent les propriétaires, et non parce que les éléments sécurisés ont failli.