Luke Dashjr conteste l’idée que seule l’IA aurait pu détecter les failles de Coldcard

Le développeur de Bitcoin Core, Luke Dashjr, a soulevé neuf préoccupations concernant le code de génération de nombres aléatoires de Coldcard lundi, affirmant qu'il les avait d'abord signalées à Coinkite en privé.

Il a publié cette liste pour contester ce qu'il a qualifié d'affirmation selon laquelle seul un « génie de l'IA » pourrait trouver des failles dans le RNG du portefeuille.

Neuf problèmes liés au RNG rendus publics après des signalements privés à Coinkite

« Cela fait assez longtemps, et j'apprends que nvk circule en prétendant que les humains ne pouvaient pas détecter le défaut de Coldcard », a écrit Dashjr dans une filée sur X. Rodolfo Novak (Nvk) est cofondateur de Coinkite.

Dashjr a déclaré qu'il ignorait si Coinkite avait corrigé ces éléments après avoir informé l'entreprise. Il n'a pas affirmé que chaque point pouvait être exploité ou que tout était définitivement un bug.

« Mais l'affirmation selon laquelle seul un « génie de l'IA » pourrait trouver des problèmes avec le RNG est un mensonge éhonté », a écrit Dashjr.

Le premier point signalé concernait une note TODO dans rng_init, la routine qui initialise le RNG du Mk4. Certains puces STM32 semblent exiger que le premier échantillon soit jeté, a-t-il écrit.

Le pilote ignore également les bits d'erreur de graine et d'horloge de la puce, selon Dashjr. De plus, le manuel STM32 exige un post-traitement supplémentaire pour les utilisations cryptographiques, a-t-il indiqué.

La fonction random_buffer détecte les sorties répétées du générateur de nombres aléatoires, mais les appels directs à rng_get ne le font pas.

Dashjr a affirmé que rng_get_or_fault ne pouvait pas être considéré comme sûr tant que la vérification de random_buffer ne serait pas prouvée comme redondante. Il s'est également interrogé sur le fait que si la sortie de l'STM32 est devenue déterministe, pourquoi la génération d'aléas de l'élément sécurisé ne conservait-elle pas une entropie complète de 256 bits.

Dashjr a indiqué que le code de remplacement était essentiellement un nouveau générateur de nombres aléatoires nécessitant des tests complets.

Le patch désactive l'ancien PRNG uniquement au moment de la compilation, et il a demandé une assertion au moment de l'exécution à la place. Un délai d'attente du RNG dans un contexte inapproprié pourrait entraîner un comportement indéfini, potentiellement un plantage risquant de rendre le matériel inutilisable (brick) sur les appareils lents, a-t-il écrit.

Le firmware Coinkite 5.6.1 vérifie déjà l'état d'erreur de seed signalé

Le dossier technique de Coinkite du 30 juillet 2026 indiquait que l’entreprise « n’était pas au courant du bug jusqu’à aujourd’hui. » Cryptopolitan a rapporté que l’entreprise supposait qu’un tiers avait pu utiliser l’IA sur son firmware open source pour détecter la vulnérabilité à l’avance.

Coinkite a ajouté qu'il n'avait pas été détecté par sa propre revue assistée par IA, réalisée plusieurs semaines plus tôt. Le défaut résultait d'une modification du firmware effectuée en mars 2021 qui avait déplacé la génération de seed hors de la puce matérielle de génération de nombres aléatoires.

Au lieu de cela, les graines provenaient de Yasmarang, un outil logiciel alimenté par le numéro de série de la puce et une minuterie. Les graines Mk2 et Mk3 disposaient d’environ 40 bits de véritable aléa, bien moins que les 128 bits supposés par BIP-39, permettant aux attaquants de reconstruire ces graines faibles hors ligne.

Les Mk4 et Mk5 ont reçu le firmware 5.6.1, et le Q a reçu la version 1.5.1Q le 20 août. La sécurité de Coinkite dans sa mise à jour update a cité une « revue assistée par IA par Kimi et d’autres modèles de pointe » et a remercié les chercheurs externes pour leurs signalements.

Certaines modifications figurent sur la liste de Dashjr. Le firmware vérifie désormais l’état d’erreur de la graine du générateur d’aléas matériel (RNG) et rejette les 12 mots matériels suivants après une erreur récupérable.

Un contrôle au démarrage s’assure que rng_get() emprunte le chemin de lecture matériel. Le générateur de secours a été modifié pour utiliser SHA-256 Hash_DRBG.

Les vols ont commencé le 30 juillet, lorsqu’un attaquant a dérobé environ 594 BTC, soit ~38 millions de dollars, à partir d’environ 500 portefeuilles en 25 minutes. Certains retraits étaient des secours de type whitehat rescues, mais les pertes cumulées sont estimées à plus de 140 millions de dollars.

Le client Coldcard Amir Reza Naderi a déposé une action collective proposée devant la Cour supérieure de justice de l’Ontario contre Coinkite, Novak et le cofondateur Peter D. Gray. Il affirme qu’ils connaissaient le problème de génération de graine depuis mai 2025 sans en avertir les utilisateurs, ce que Coinkite nie.