🚨 Près de 1 200 cold wallets Coldcard vidés et 70 millions de dollars en Bitcoin volés en seulement 41 minutes.
Pourtant, le coupable n’a jamais eu accès aux appareils, aux phrases de récupération ou aux ordinateurs des victimes. Il a simplement réussi à reconstruire leurs seeds......
Le 30 juillet, un individu a dérobé 1 082,65 $BTC, soit environ 70 millions de dollars, depuis 1 196 wallets Coldcard.
Les fonds ont été transférés en plusieurs lots vers quatre adresses.
Une attaque réalisée entièrement hors ligne
Il n’avait pas besoin d’accéder physiquement aux appareils, car le problème venait de la manière dont certaines seeds avaient été générées.
Une erreur dans certaines versions du firmware Coldcard avec des seeds beaucoup trop prévisibles.
Le firmware devait utiliser un générateur matériel de nombres aléatoires. À cause d’une mauvaise configuration, certains appareils ont utilisé un générateur logiciel basé notamment sur le numéro de série de la puce et des données liées à son horloge interne.
Ces informations semblaient aléatoires, mais pouvaient en réalité être reproduites ou limitées à un nombre de possibilités beaucoup plus faible.
L’attaquant pouvait générer des millions de seeds candidates sur ses propres machines, puis calculer les adresses Bitcoin associées.
Lorsqu’une correspondance était trouvée, il obtenait la même clé privée que le propriétaire et pouvait signer une transaction valide.
Les wallets vidés utilisaient plusieurs formats d’adresses Bitcoin, dont principalement du SegWit natif.
Plusieurs générations de Coldcard pourraient être concernées, notamment les Mk2, Mk3, Mk4, Mk5 et Q, selon le firmware utilisé au moment de la création de la seed.
L’attaquant aurait laissé une trace en utilisant un compte payant auprès d’un fournisseur de données blockchain pour vérifier les adresses pendant son attaque.
Les requêtes enregistrées correspondraient précisément au nombre, à l’ordre et au timing des wallets vidés. Ces informations auraient été transmises aux autorités.
Coldcard confirme la faille et recommande une migration immédiate des fonds vers un autre wallet.
@dinofauro@paoloardoino Quick clarification: DINOFAURO is a TRADEMARK, not a patent. And a trademark:
→ protects a name ("DINOFAURO", not "FEFER")
→ only in Brazil
→ only for toys (class 28)
A blue dino isn't a monopoly. $FEFER is safe on that front. 🦖
@dinofauro Quick clarification: DINOFAURO is a TRADEMARK, not a patent. And a trademark:
→ protects a name ("DINOFAURO", not "FEFER")
→ only in Brazil
→ only for toys (class 28)
A blue dino isn't a monopoly. $FEFER is safe on that front. 🦖
This cat is going SUPER viral on WallStreetBets and meme'd heavily in the comments
theyre calling it the "Market Cat", pretty similar to the pigeon from a few months ago that ran to a mil
https://t.co/f3mAEKMq3L
$FEFER quick TA check
$5.4M proved to be an absolute support level – bounced off it multiple times already
healthy pullback after that massive runup
as long as we're consolidating around $7M, this looks like pure accumulation before the next leg
If $FEFER has a million fans, then I am one of them.
If Fefer has ten fans, then I am one of them.
If Fefer has only one fan then that is me.
If Fefer has no fans, then that means I am no longer on earth.
If the world is against Fefer, then I am against the world.
I've been playing Baldur's Gate 3 this way for a long time, and it's an absolute blast.
Larian, I genuinely love you and your games. But I think it's time to seriously reconsider what players have been asking for. The popularity of the WASD movement and Native Camera Tweaks mods shows that there's a real demand for this style of gameplay. They've even attracted people who normally wouldn't play a CRPG.
During the recent Divinity AMA, you said these features won't be in the game. As someone who truly admires and respects your work, I sincerely hope you'll reconsider that decision.
Making these features optional, disabled by default but available for anyone who wants them doesn't seem like an unreasonable request. It would let players enjoy the game the way they prefer without changing the experience for those who like the classic controls.
Please, Larian, listen to your players. We love your games, and many of us genuinely believe these features would make them even better.
@larianstudios@divinity@LarAtLarian@AoifeLockhart@Cromwelp