La faille d’entropie de Coldcard a porté un nouveau coup à la confiance dans la sécurité des cryptomonnaies, révélant une faille critique dans l’un des portefeuilles matériels les plus établis du marché — un appareil longtemps apprécié des partisans de l’auto-conservation du Bitcoin pour sa conception isolée et son firmware open source.

La vulnérabilité, divulguée le 31 juillet par Coinkite, fabricant de Coldcard, touche plusieurs appareils Coldcard. Selon des chercheurs de Galaxy Digital, des attaquants ont exploité cette faille pour voler plus de 1,596 Bitcoin — d’une valeur d’au moins 100 millions de dollars — au cours d’une série d’attaques coordonnées.

L’incident a contraint les fabricants de portefeuilles matériels à expliquer publiquement un processus auquel la plupart des utilisateurs ne pensent que rarement : la manière dont leurs appareils génèrent les clés privées qui protègent leur Bitcoin. Cet examen intervient dans un contexte d’attention accrue portée à l’auto-conservation, renforcée par des effondrements retentissants d’exchanges comme FTX en 2022, qui ont poussé de nombreux utilisateurs à prendre le contrôle direct de leurs clés privées plutôt que de les confier à des plateformes tierces.

Michael Tanguma, responsable produit chez Onramp Bitcoin, société de conservation de Bitcoin, a déclaré à Cointelegraph Magazine :

"The whole model rests on trust that the vendor got it right […] Almost no individual can audit the hardware, the firmware and the entropy generation underneath their device."

Coinkite a publié des correctifs de firmware et demandé aux utilisateurs concernés de transférer leurs fonds. Néanmoins, la compromission a profondément ébranlé les détenteurs de Bitcoin et soulevé une question pressante : si les portefeuilles Coldcard peuvent être compromis, tous les portefeuilles matériels sont-ils potentiellement vulnérables ?

Une faille au fondement : l’aléa

La vulnérabilité de Coldcard n’a ni attaqué le protocole Bitcoin ni cassé la cryptographie moderne. Elle a ciblé quelque chose de bien plus fondamental : l’aléa.

Chaque portefeuille Bitcoin commence par générer une phrase de départ à partir d’un ensemble de données aléatoires. Cet aléa doit être suffisamment imprévisible pour rendre les clés privées résultantes pratiquement impossibles à deviner. L’entropie mesure ce niveau d’imprévisibilité.

Lorsque l’aléa est affaibli pour une raison quelconque, les attaquants peuvent réduire le nombre de clés possibles et, à terme, parvenir à les reproduire.

Coinkite a d’abord averti les utilisateurs le 31 juillet que les portefeuilles créés sur un firmware affecté devaient être considérés comme à risque et a conseillé aux clients de transférer leurs fonds vers de nouveaux portefeuilles générés.

À mesure que les chercheurs examinaient la faille dans les jours suivants, les questions se sont multipliées sur la manière dont une faille aussi critique a pu passer inaperçue pendant plus de cinq ans.

Le développeur de Core Lightning, Dustin Dettmer, a suggéré que le problème pourrait être né lors de modifications du firmware effectuées en 2021. Il estime qu’un code destiné à interagir avec le générateur matériel de nombres aléatoires l’a au contraire désactivé par inadvertance, ce qui a entraîné le recours au générateur pseudo-aléatoire Yasmarang de MicroPython, plus faible.

Cette théorie est devenue l’une des principales explications possibles de l’entrée de la faille dans le firmware de production, même si Coinkite n’a pas confirmé cette séquence exacte d’événements. L’entreprise indique qu’elle publiera "soon" un postmortem technique complet.

Un porte-parole de Coinkite a déclaré à Cointelegraph Magazine :

"Certain firmware versions had a fallback path in seed generation that could produce weak entropy when generated on the device firmware itself."

Les appareils sur lesquels les utilisateurs généraient eux-mêmes leur entropie à l’aide de lancers de dés ou de méthodes manuelles similaires "were not affected by this specific fallback path," précise le porte-parole.

La génération faible de nombres aléatoires (RNG) n’a rien de nouveau, mais, contrairement à de nombreuses autres failles de sécurité, elle est notoirement difficile à détecter. L’expert en sécurité Bitcoin Jameson Lopp a noté que des vulnérabilités liées au RNG ont déjà touché de nombreux portefeuilles et bibliothèques de cryptomonnaies, notamment le portefeuille Android de Blockchain.com et Trust Wallet.

Le directeur de la sécurité produit de Ledger, Vincent Bouzon, a déclaré à Cointelegraph Magazine que "weak randomness passes output tests", ce qui signifie que des générateurs de nombres aléatoires compromis peuvent toujours produire des valeurs qui semblent aléatoires, rendant les failles extrêmement difficiles à identifier.

Portefeuilles différents, approches différentes de l’aléa

Les fabricants de portefeuilles matériels s’accordent à dire que la génération d’entropie sécurisée n’est pas négociable, mais ils emploient des stratégies nettement différentes pour y parvenir.

La philosophie de Ledger repose sur du matériel de sécurité dédié. Bouzon a expliqué que les appareils Ledger génèrent les seeds à l’aide d’un véritable générateur aléatoire intégré dans un Secure Element certifié. La source d’entropie est certifiée selon la norme AIS-31 PTG.2, et le Secure Element fait l’objet d’une certification Common Criteria. Il a déclaré :

"This Coldcard incident was a failure in one specific implementation, not a verdict on secure self-custody […] The generation of that entropy must be anchored in secure hardware, with an architecture that cannot silently downgrade to an untrusted software-based source."

Trezor adopte une approche différente, en combinant l’aléa généré à l’intérieur de l’appareil avec l’aléa fourni par l’ordinateur hôte, plutôt que de dépendre d’une seule source d’entropie. Les modèles Trezor les plus récents intègrent également des sources matérielles d’entropie supplémentaires. L’entreprise procède aussi à des vérifications d’entropie pour confirmer que l’appareil a bien contribué à un aléa imprévisible lors de la création du portefeuille.

Tomáš Sušánka, directeur technique de Trezor, a déclaré à Cointelegraph Magazine :

"The takeaway for the whole industry is that randomness cannot depend on a single source or a single line of code being correct."

Le portefeuille Passport de Foundation s’appuie lui aussi sur plusieurs sources d’entropie tout en mettant fortement l’accent sur la transparence. Son directeur général, Zach Herbert, indique que Passport combine l’aléa généré par différents composants matériels avant de créer un portefeuille. Le firmware est également publié en tant que logiciel libre et open source avec des builds reproductibles, ce qui permet à des chercheurs indépendants de vérifier que le logiciel exécuté sur l’appareil correspond bien au code publié.

Herbert a déclaré :

"The bug itself was specific to Coldcard [...] The larger warning is that this went unnoticed for more than five years while people trusted the product with life-changing amounts of money."

Confiance, transparence et vérification

La véritable différence entre Ledger, Trezor et Foundation ne porte pas sur l’importance de l’aléa, mais sur la manière dont les utilisateurs peuvent s’assurer qu’il fonctionne réellement.

Ledger estime qu’une certification indépendante offre la garantie la plus solide. Foundation s’appuie sur le développement open source, les builds reproductibles et l’accueil de chercheurs externes, tandis que Trezor combine un firmware ouvert avec des sources d’entropie en couches afin d’éviter de dépendre d’un seul composant.

L’approche de Coinkite en matière de divulgation des failles a également été critiquée, plusieurs développeurs Bitcoin reprochant à l’entreprise ses réponses passées aux rapports de vulnérabilité ainsi que l’absence d’un programme classique de bug bounty.

Herbert soutient que l’accueil des chercheurs externes fait partie intégrante de la construction de produits sécurisés, aux côtés du développement open source et des audits indépendants.

Nick Percoco, directeur de la sécurité chez Kraken et ancien directeur de la sécurité chez Uptake, voit dans l’incident Coldcard une occasion pour le secteur d’adopter des normes plus strictes, quelle que soit la philosophie de conception choisie par les fabricants.

"The Coldcard entropy failure should be a wake-up call for the entire hardware wallet industry," a-t-il déclaré, estimant que les schémas de certification actuels valident souvent des composants individuels sans confirmer que le firmware de production les utilise correctement.

Percoco a proposé une norme d’assurance propre au secteur, exigeant une validation indépendante des sources d’entropie, la vérification que le firmware appelle bien le générateur matériel de nombres aléatoires prévu, ainsi qu’une certification liée à des versions matérielles et logicielles précises.

Le débat dépasse toutefois la seule mise en œuvre technique. Des voix comme celle d’Herbert soutiennent que le développement open source façonne également la culture de sécurité, en soulignant les programmes de bug bounty et l’engagement constructif avec les chercheurs indépendants comme des éléments essentiels du développement de produits sécurisés.

Que doivent faire les détenteurs de Bitcoin maintenant ?

Pour les utilisateurs de Coldcard, la priorité immédiate consiste à suivre les recommandations de migration de Coinkite s’ils pensent que leurs portefeuilles ont été créés avec un firmware affecté.

À plus long terme, les détenteurs de Bitcoin dans leur ensemble devraient considérer cet épisode comme un apprentissage, des experts comme Tanguma insistant sur la nécessité d’éviter des architectures dans lesquelles une seule défaillance peut compromettre les fonds.

"Today, realistically, you want multisig and independently generated entropy [...] The mitigation that actually scales is architectural: setups where no single device, vendor or institution being wrong can lose the funds," a-t-il déclaré. Le multisignature, ou multisig, est une configuration qui exige plusieurs validations indépendantes — provenant d’appareils ou de parties distinctes — pour autoriser une transaction Bitcoin, de sorte qu’aucun point de défaillance unique ne puisse débloquer les fonds.

Pour l’instant, la réponse semble être non ; tous les portefeuilles matériels ne sont pas vulnérables. L’incident Coldcard a révélé une défaillance dans une mise en œuvre précise, mais il a aussi contraint les fabricants à lever le voile sur le processus au cœur de l’auto-conservation : la génération d’un secret que personne d’autre ne peut prévoir.

Magazine: The 100x obsession: Fundamentals grow in importance as crypto matures