Publier

Les portefeuilles froids ne sont plus sûrs : faille du firmware Coldcard, attaque de la chaîne d'approvisionnement Ledger — votre BTC vous appartient-il vraiment ? Vous avez dépensé 1000 yuans pour un portefeuille froid, pensant que vos actifs étaient parfaitement sécurisés. En un an, deux incidents vous montrent que même un portefeuille froid peut être une bombe à retardement. La première bombe : Coldcard, vous n'avez même pas touché à l'appareil, et l'argent a disparu. En mars 2021, le fabricant canadien de portefeuilles matériels Coinkite a introduit une faille fatale dans le firmware Coldcard : lors de la génération de la phrase mnémonique, l'appareil n'a pas utilisé la puce matérielle de génération de nombres aléatoires, mais un générateur pseudo-aléatoire logiciel. En clair, ce que vous pensiez être "aléatoire" ne l'était pas. Les attaquants n'avaient pas besoin de toucher à votre appareil, ni même que vous soyez connecté à Internet, ils pouvaient mathématiquement déduire en masse vos phrases mnémoniques. La première attaque a eu lieu le 30 juillet 2026. En 25 minutes, environ 594 BTC ont disparu de 500 adresses. Ce n'était que le début. Au moins trois autres vagues d'attaques ont suivi, au total plus de 1 816 BTC ont été transférés depuis plus de 5 200 adresses, causant une perte estimée entre 114 et 116 millions de dollars. Un utilisateur a déclaré que son Coldcard n'avait jamais été connecté à Internet, que sa phrase mnémonique n'avait jamais été divulguée, et pourtant ses actifs ont été volés. La réponse officielle de Coinkite fut une seule phrase : toutes les phrases mnémoniques générées depuis mars 2021 doivent être considérées comme compromises. Mettre à jour le firmware ne sert à rien — les phrases déjà générées ne seront jamais sûres, vous devez créer une nouvelle phrase et transférer vos actifs. La deuxième bombe : Ledger, l'appareil que vous avez acheté chez un revendeur pourrait avoir été trafiqué. Le 9 octobre, une vague massive de vols a touché les utilisateurs Ledger, avec des pertes dépassant 86 millions de dollars, impliquant Ethereum, TRON, Bitcoin et plusieurs centaines de portefeuilles sur différentes blockchains. Les victimes avaient un point commun : elles avaient acheté leurs appareils via le revendeur CryptoBilis en Asie du Sud-Est. L'ancien PDG de Mt. Gox, Mark Karpelès, a démonté un Ledger venu de Malaisie et a découvert une carte électronique supplémentaire à l'intérieur, équipée d'un module LTE et d'une eSIM. Cette carte pouvait lire les signaux envoyés à l'écran, intercepter la phrase mnémonique lors de l'initialisation de l'appareil, puis la transmettre via le réseau mobile. Vous pensiez acheter chez un "revendeur officiel autorisé", mais en réalité l'appareil avait été ouvert, modifié et trafiqué dès sa sortie d'usine. Le signal le plus inquiétant est que les hypothèses de sécurité de toute l'infrastructure DeFi sont en train d'être démantelées une par une. Balancer a perdu 128 millions de dollars, Kelp DAO 292 millions, Stream Finance a vu son stablecoin synthétique xUSD perdre son ancrage, et la valeur totale verrouillée d'Aave est passée de 26 milliards à 14,2 milliards en 5 jours. Des protocoles de prêt aux stablecoins synthétiques, des exchanges aux portefeuilles matériels personnels — chaque maillon que vous pensiez "sûr" a connu des incidents cette année. Que faire ? Trois choses à faire dès aujourd'hui. Premièrement, achetez votre portefeuille matériel via les canaux officiels. Ne cherchez pas à économiser en passant par des revendeurs, n'achetez pas auprès de tiers. L'incident Ledger vous a montré que les attaques sur la chaîne d'approvisionnement se cachent derrière les mots "revendeur autorisé". Deuxièmement, les utilisateurs Coldcard doivent vérifier immédiatement. Si vous avez généré une phrase mnémonique sur Coldcard après mars 2021, créez un nouveau portefeuille et transférez vos actifs dès aujourd'hui. L'ancienne phrase n'est plus sûre. Troisièmement, utilisez la multi-signature pour les gros montants. Les portefeuilles à signature unique sont la cible principale des attaques Coldcard. Utilisez une multi-signature 2-sur-3 avec Trezor Safe 7, Ledger Nano et Casa Recovery Key : si un appareil pose problème, vos actifs restent protégés. Ne mettez pas tous vos œufs dans le même panier — et ne confiez jamais votre clé privée à un seul appareil. 1011 nous a appris que l'effet de levier peut tuer. Cette année nous apprend que même un portefeuille froid peut vous trahir. Sur ce marché, le seul ennemi de la sécurité est votre chance. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入