Coldcard a publié une nouvelle mise à jour du firmware afin d'améliorer la sécurité de ses portefeuilles matériels. L'entreprise a indiqué que certaines phrases de récupération créées avec des versions précédentes du logiciel pourraient présenter un risque potentiel de sécurité et a conseillé aux utilisateurs concernés de créer une nouvelle phrase de récupération et de transférer leurs actifs vers le nouveau portefeuille.
Comme vous le savez, une faille de sécurité dans le portefeuille matériel Coldcard a récemment entraîné le vol de plus de 70 millions de dollars de Bitcoin depuis les portefeuilles des utilisateurs.
Coldcard a publié la version 5.6.1 pour les modèles Mk4 et Mk5, et la version 1.5.1Q pour le modèle Q. Cette mise à jour est le résultat d’un audit de sécurité complet d’environ trois semaines, faisant suite au correctif d’urgence publié le 31 juillet.
Avec le nouveau firmware, chaque nouvelle phrase de récupération créée sur les appareils Coldcard doit désormais inclure au moins une source d'entropie physique fournie par l'utilisateur.
Les utilisateurs pourront effectuer cette opération en utilisant l'une des options suivantes : au moins 65 frappes de clavier irrégulières, 50 lancers de dés physiques, ou 128 lancers de pièce physiques.
Cette source d’aléa générée par l'utilisateur sera combinée avec une nouvelle entropie provenant du matériel TRNG STM32 de l'appareil et des éléments sécurisés SE1 et SE2. Coldcard a précisé que ce changement vise à rendre le processus de génération des phrases de récupération plus résistant aux attaques potentielles.
La mise à jour ne modifie pas seulement la façon dont les phrases de récupération sont générées. La nouvelle version permet également la vérification PSBT en temps réel et de manière incrémentielle avant le processus de signature.
De plus, les mesures de sécurité des connexions USB et du processus de mise à jour du firmware ont été renforcées, et le mécanisme d’isolation Delta Mode a été amélioré.
La mise à jour corrige plusieurs problèmes liés à la sauvegarde des portefeuilles actifs, tout en introduisant des générateurs de nombres aléatoires plus robustes et en rendant les vérifications d’erreur plus strictes. Diverses améliorations de sécurité et de précision sont incluses dans la mise à jour, ainsi que des modifications des paramètres SIGHASH par défaut.
L’avertissement le plus important dans l’annonce de Coldcard concerne les phrases de récupération actuelles.
L’entreprise a précisé qu’installer le nouveau firmware n’élimine pas un éventuel problème de sécurité dans les phrases de récupération créées avec les anciennes versions du logiciel concernées.
Les utilisateurs affectés par cette vulnérabilité doivent d’abord mettre à jour leurs appareils avec la nouvelle version du firmware, puis créer et vérifier une nouvelle phrase de récupération, et transférer leurs actifs Bitcoin existants vers le portefeuille nouvellement créé.
Coldcard recommande également fortement à tous les utilisateurs des modèles Mk4, Mk5 et Q de mettre à jour leurs appareils dès que possible et de vérifier la signature numérique du fichier firmware téléchargé.
