Comment les portefeuilles matériels Bitcoin ont aidé les utilisateurs pendant la crise de Coldcard

Bitcoin.com News a examiné la manière dont les 13 principaux fabricants de ces appareils essentiels ont communiqué sur X, le principal réseau social dédié à tout ce qui touche aux crypto-actifs, depuis le début de la crise fin juillet et tout au long du mois d’août.

RAPIDITÉ ET CLARTÉ

Les équipes se sont distinguées par leur rapidité, leur clarté, leur serviabilité, leur ton, leur niveau d’autopromotion, ainsi que par le fait qu’elles aient continué à assurer le suivi de la situation, tant au bout de quelques jours qu’aujourd’hui, plusieurs semaines plus tard. Par exemple, le fabricant de Bitkey, la société américaine Block, qui faisait partie de l’enquête initiale de Coldcard, a été parmi les premiers à avertir ses utilisateurs et la communauté au sens large de cette faille, et a rapidement été suivi par la société canadienne Blockstream, fabricant de Jade. En revanche, d’autres ont mis plus d’une journée à publier un message sur X. L’un des leaders du secteur, la société européenne Ledger, n’a informé ses abonnés sur X qu’environ 14 heures après le début de la crise.

Cependant, les plus rapides à réagir n’ont pas toujours été les plus rigoureux.

UNE OPPORTUNITÉ PLUS LARGE POUR L'AUTOGESTION

Dans tous les cas, parmi les tendances qui se sont dégagées des communications des différents portefeuilles, on a pu observer un accent particulier mis sur la manière dont l’entropie est générée, les équipes cherchant à se démarquer de Coldcard. De plus, certaines équipes ont mis en avant la prise en charge de l’entropie générée par l’utilisateur comme moyen de réduire la dépendance vis-à-vis du générateur de nombres aléatoires (RNG) intégré à l’appareil.

On a également observé une approche différente dans la manière dont les fabricants d’appareils à code source fermé et à code source ouvert ont tenté de rassurer leurs utilisateurs. Les appareils présentant des références open source plus solides (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) ont mis l’accent sur la vérifiabilité, tandis que les conceptions plus « closed-source » (Ledger, Tangem, Ngrave) se sont davantage appuyées sur les certifications et les audits.

De plus, toutes les équipes n’ont pas évoqué les configurations à signatures multiples (multisig) comme moyen de défense structurel, en particulier dans le cadre de configurations multi-fournisseurs, tandis que plusieurs entreprises ont profité de l’occasion pour promouvoir plus largement les bonnes pratiques en matière d’auto-custodie.

AIDE ET VANTARDISE

En ce qui concerne le suivi, Trezor, Bitkey, Bitbox et Blockstream Jade se sont distingués par leur plus grande réactivité, en fournissant des informations supplémentaires, tandis que Ledger, Tangem, Safepal et Ngrave se sont montrés relativement moins actifs à cet égard.

De plus, toutes les équipes n’ont pas donné de conseils pratiques de migration aux utilisateurs concernés, et Foundation (le fabricant du Passport Prime), Bitkey, Ellipal, Jade, Bitbox et Trezor se sont distingués par leurs conseils concrets. Par ailleurs, Foundation et Trezor ont également communiqué sur leurs mesures supplémentaires de renforcement de la sécurité. Ngrave et Ellipal semblent avoir utilisé les arguments promotionnels les plus forts, tels que « le plus sûr au monde », « leader des solutions air-gapped », etc.

Examinons maintenant brièvement les communications de chacun de ces portefeuilles. Ils sont classés en fonction de leur première publication sur X pendant la crise.

RÉACTIONS DES 13 PRINCIPAUX PORTEFEUILLES MATÉRIELS BITCOIN FACE À LA CRISE DE COLDCARD

Bitkey 30 juillet, 22 h 07 EDT Bitkey et son fabricant, Block, ont joué un rôle proactif dès le début de la crise Coldcard, l’équipe de Block ayant mené une enquête indépendante sur les vols et publié une analyse technique détaillée confirmant que le portefeuille Bitkey sans graine n’était pas concerné. Outre des explications claires en langage simple et des avertissements indiquant que les graines Coldcard vulnérables restaient compromises même si elles étaient déplacées ailleurs, l’équipe a également déconseillé toute nouvelle configuration précipitée de garde autonome. Une FAQ publiée mi-août a réaffirmé que Bitkey n’était pas concerné, qu’aucune action n’était nécessaire, et a détaillé sa conception de base à signature multiple 2 sur 3. Les communications ultérieures se sont orientées vers la sensibilisation aux fonctionnalités de signature multiple et de récupération, plutôt que vers la répétition de messages liés à la crise.

Blockstream Jade 30 juillet, 23 h 20 EDT Cette équipe s’est immédiatement assurée que les phrases de récupération de Jade soient générées à partir de plusieurs sources d’entropie indépendantes. Elle a également publié un article de blog pratique décrivant un processus de migration en quatre étapes pour les utilisateurs de Coldcard concernés. L’équipe a détaillé la conception multi-sources d’entropie de Jade et a souligné sa nature entièrement open source. Les communications suivantes se sont concentrées sur la réponse aux questions des utilisateurs, l’explication des fonctionnalités de sécurité du portefeuille et l’annonce de nouvelles méthodes pour créer de l’entropie hors ligne.

Passport Prime 30 juillet, 23 h 33 EDT Le fabricant du portefeuille Passport Prime a réagi par un communiqué affirmant que tous ses modèles ont toujours généré une entropie correcte et sont sûrs. Il a ensuite publié des articles techniques détaillés expliquant la défaillance de Coldcard et sa propre conception matérielle d’entropie multi-sources. Par ailleurs, l’équipe a partagé une analyse complémentaire de son architecture d’entropie réalisée après l’incident. Parmi les nouvelles mesures spécifiques annoncées figuraient une surveillance renforcée de l’état de santé du matériel afin d’éviter que des graines à faible entropie ne résultent de défaillances matérielles, le lancement d’une application de test d’entropie destinée aux utilisateurs sur Passport Prime, ainsi que l’intention de publier des rapports de révision du code par IA à chaque nouvelle version logicielle.

Trezor 31 juillet, 03 h 16 EDT Trezor a assuré à ses utilisateurs que leurs fonds étaient en sécurité, avant d’ajouter rapidement que toute personne ayant transféré une graine générée par Coldcard vers un Trezor était toujours exposée à un risque. Le même avertissement figure également sur la majorité des autres portefeuilles. Quelques jours plus tard, l’équipe a publié une analyse technique de la conception de l’entropie du portefeuille. La communication s’est ensuite poursuivie jusqu’à la mi-août, l’entreprise consolidant sa position et réitérant ses explications sur l’entropie, ses avertissements contre le phishing et ses mentions concernant une éventuelle prise en charge supplémentaire de l’entropie par lancer de dés. Par ailleurs, le 13 août, Trezor a révélé que près de 14 000 de ses clients avaient été touchés par une fuite de données chez ShipMonk, l’un de ses prestataires logistiques.

OneKey 31 juillet, 04 h 24 EDT Après avoir rassuré ses utilisateurs en leur indiquant que ces appareils n’étaient pas concernés, OneKey a expliqué que l’entropie était entièrement générée sur l’appareil, en combinant des sources aléatoires indépendantes. Les communications suivantes ont réitéré les mêmes points principaux, notamment la double source d’entropie intégrée à l’appareil, la certification, le micrologiciel open source et l’audit en cours mené par un cabinet de sécurité, tout en partageant des articles plus détaillés, notamment sur la signature multiple (multisig) ou sur la manière de renforcer la sécurité d’une phrase de récupération.

Bitbox 31 juillet, 04 h 52 EDT Avant sa première déclaration de fond le 31 juillet, l’équipe avait déjà répondu dans un fil de discussion distinct et antérieur que ses appareils étaient sûrs. BitBox a également expliqué que ses phrases de récupération combinaient cinq sources d’entropie indépendantes. Des messages de suivi ont détaillé ces sources d’entropie, présentées comme une « défense en profondeur », et ont mis en avant le micrologiciel open source, les audits internes assistés par IA, un programme de prime aux bogues et la prise en charge de l’entropie manuelle par lancer de dés. BitBox a également exposé les avantages et les inconvénients d’une configuration multisignature. Par ailleurs, sans rapport avec Coldcard, BitBox a révélé et corrigé ses propres failles de micrologiciel. Aucune exploitation n’a été signalée.

Keystone 31 juillet, 06 h 47 EDT
Les premiers messages de Keystone abordaient la génération d’entropie sans mentionner la crise de Coldcard, mais ont été suivis d’une autre déclaration le 4 août, confirmant que des contrôles internes avaient établi que tous les appareils Keystone étaient sûrs. Par la suite, l’équipe a détaillé la conception de ses appareils, soulignant que le processus de génération avait été vérifié à chaque étape. Elle a également proposé deux solutions facultatives, telles que l’ajout d’une phrase de passe BIP-39 ou l’utilisation de la fonctionnalité « lancer de dés » de l’appareil. Les réponses ultérieures, jusqu’au début du mois d’août, se sont concentrées sur la conception multi-source et les options « lancer de dés »/« phrase de passe », tout en orientant ses utilisateurs vers le micrologiciel open source et les rapports d’audit publics pour une vérification indépendante.

Ledger 31 juillet, 12 h 16 EDT Après le message initial indiquant que Ledger n’était pas concerné par le problème de Coldcard, en mettant en avant un générateur de nombres aléatoires certifié intégré à son élément sécurisé, une explication plus détaillée a été fournie le 2 août par son directeur technique, Charles Guillemet. Dans ses communications suivantes, l’équipe s’est concentrée sur les différences de sa technologie, tout en proposant des conseils sur la multisignature, en avertissant que les configurations de conservation plus complexes peuvent également présenter davantage de risques, et en proposant d’autres solutions telles que Miniscript et MuSig2, un protocole de multisignature Bitcoin à deux tours. De plus, l’équipe a expliqué comment elle se préparait aux attaques de sécurité accélérées par l’IA. Bien que Ledger n’ait lui-même subi aucune faille de sécurité, ses clients ont été touchés par deux fuites de données personnelles résultant d’incidents impliquant des tiers.

Tangem 31 juillet, 15 h 08 EDT Tangem s’est également empressé de souligner que cet appareil sans phrase de récupération fonctionne avec un code entièrement distinct de celui de Coldcard. Plus tard en août, Tangem a fait valoir que la sécurité repose sur l’architecture, les tests et la vérification indépendante plutôt que sur le seul code open source. De plus, l’entreprise a publié une explication expliquant pourquoi les logiciels malveillants ciblant les clés de récupération ne fonctionnent pas contre Tangem. Le message principal de l’équipe s’est ensuite concentré sur l’architecture et la certification.

Ellipal 1er août, 07 h 21 EDT
En plus de rassurer ses utilisateurs, Ellipal les a invités à vérifier plutôt qu’à se contenter de faire confiance, car l’appareil accepte une graine générée par l’utilisateur lui-même. Elle a également publié une explication sur la manière de vérifier de manière indépendante le caractère aléatoire. Deux jours plus tard, elle a proposé une distribution gratuite d’outils de sécurité des graines. Dans ses communications suivantes, elle s’est concentrée sur des explications techniques, tandis que le 5 août, elle a proposé une liste de contrôle de migration pour les utilisateurs ayant généré une graine sur une Coldcard. Ellipal s’est également montrée active pour mettre en garde ses utilisateurs contre les tentatives d’hameçonnage et a même partagé une publication de son concurrent, Ledger, sur le matériel open source.

Safepal 1er août, 14 h 14 EDT SafePal s’est également attaché à se démarquer de Coldcard, en précisant que ce portefeuille extrait l’entropie au moment de sa création plutôt que de s’appuyer sur une seule puce ou source. À l’instar de nombreux autres portefeuilles, il a également mis en garde contre les tentatives d’hameçonnage. Son message et son article de blog du 1er août constituaient pour l’essentiel l’intégralité de sa réponse ; par la suite, il n’a partagé qu’un message sur les phrases de passe. Cependant, le 16 août, la société a révélé que près de 40 000 de ses clients avaient été touchés par une fuite de données.

Ngrave 1er août, 15 h 43 EDT Ngrave a mis l’accent sur son processus de génération de « clé parfaite » (Perfect Key), qui combine plusieurs techniques cryptographiques, une génération en « air-gap » et l’empreinte digitale de l’utilisateur. Par la suite, l’entreprise n’a cessé de rappeler à ses utilisateurs que le fait de s’appuyer sur une seule source de génération de clés constituait un point de défaillance unique. Elle a également invité les utilisateurs à vérifier eux-mêmes la conception du système. De plus, l’équipe a déclaré qu’elle s’appuyait sur « diverses évaluations de cyberdéfense assistées par des modèles de langage de grande envergure (LLM), en exploitant les modèles les plus avancés au monde pour sécuriser vos fonds », et a annoncé son programme de suppression des données clients.

KeepKey 1er août, 16 h 25 EDT
KeepKey a partagé une analyse technique de son développeur, en incluant également un lien vers un article du blog KeepKey expliquant qui était exposé à un risque, les étapes de migration et pourquoi une signature multiple (multisig) entièrement basée sur Coldcard ne protège pas contre ce type de défaillance. Il s’agissait du seul message publié par KeepKey depuis le début de la crise Coldcard, cette équipe n’étant pas très active sur X.

En conclusion, la crise Coldcard a non seulement enseigné de nouvelles leçons de sécurité aux fabricants de portefeuilles matériels, mais, espérons-le, leur communication s’améliorera encore davantage lorsque la prochaine crise surviendra.

Bitcoin.com News a contacté toutes ces équipes pour obtenir leurs commentaires et partagera leurs réponses, si elles se font connaître.