Reprise du message précédent :
si bous avez une ColdCard et que vous tenez a vos BTC, je crois qu’il y a un souci

en 2050 ouais

 
Vu l'évolution du climat pas besoin de déménager j'aurai les palmiers chez moi din ch'Nord

On se fait chier, non ?  
Encore un an de chiantise avant que ça commence à devenir intéressant ?

C'est chaud...
 
Un très bon récap des frenchies de wizard sardine (à partir de la section 2) :
https://wizardsardine.com/blog/cold [...] erability/

Je sais même pas ce que c'est une cold card  

Dangereux pour mes 30 balles sur gnosis pay  

 
t'es sur qu'il y a un problème
 
Vols de Bitcoin sur Coldcard : votre wallet est-il touché ?
 
Une erreur de firmware a désactivé la génération sécurisée de nombres aléatoires sur plusieurs générations de wallets matériels Coldcard, alimentant un vol en cours qui a déjà vidé 594,48 Bitcoin (BTC), soit environ 38,3 millions de dollars.
 
https://fr.finance.yahoo.com/actual [...] 27649.html
 
d’âpres ce qu'il explique dans ca video, c'est un appareil qui génère des nombres aléatoires qui s'est fait piraté du a une faille dans le firmware
 
https://youtu.be/hME7f44pwI0
 
l'appareil dont il parle fait la meme chose que les applications google authentification, authentificator, IDPING etc pour la double authentification afin de se connecter sur les sites sensibles

Ça commence mal le lien YouTube : il parle de Ledger qui s’est déjà fait pirater.
Ils se sont fait pirater leur base client, mais à ma connaissance leurs devices n’ont jamais présenté une telle faille…

3ème vague en cours pour les users Coldcard (pendant les vacances, ce qui est voulu vu que c'est la période à laquelle les users ont le moins accès à ces devices)
 
Un truc que je n'ai pas pigé: comment les investigateurs ont-ils fait pour savoir quelles addresses sont impactées ?  
 

ils ont du s'en prendre a l'entreprise aussi, ce genre d'appareil etait aussi utilisé par des agences gouvernementales, des grands comptes et des institutions
 
l'entreprise s'appelle RSA SECURITY ca date de 2011
 
https://www.lemondeinformatique.fr/ [...] 33207.html

Victime d'un hacking, RSA met en garde ses clients SecurID
 
La division RSA Security d'EMC a fait savoir à ses clients que ses tokens SecurID pourraient présenter un risque, suite à la cyber-attaque sophistiquée dont l'entreprise a été victime.
 
une video qui explique le piratage et les consequences qui en ont decoulé  
 
https://www.youtube.com/watch?v=UxFRprcYhM0&t=1198s

Vous avez vu passer ça ?
Fiscalité crypto en France : les 6 mesures de la proposition de loi Midy expliquées - Journal du Coin https://share.google/SdKr5vUy4Nrbxtwhx

C'est sympa, les agressions vont se reporter sur simples particuliers qui eux n'auront pas leur adresse masquée, j'imagine.

 
peace and love, ca s'arrange    
 
Le hack de Bitcoin sur Coldcard atteint une quatrième vague avec 462 nouvelles victimes suspectées
 
Le hack du générateur de nombres aléatoires (RNG) a été relié à 1 367,05 Bitcoin (BTC) provenant de 4 585 adresses sur trois vagues confirmées. Une quatrième vague avérée porterait ce total à la hausse.
Le hack Coldcard s'aggrave alors qu'une quatrième vague suspectée touche plus de 380 Bitcoin
 
https://fr.finance.yahoo.com/actual [...] 13807.html

Ca doit phosphorer pleine balle chez tous les fabricants de hardware wallet pour s’assurer qu’ils n’ont pas une faille du même genre …
Je ne sais pas quelle était la part de marché de Coldcard, mais elle vient de se libérer  

 
Chez Ledger le firmware n'est pas open-source, contrairement au cas présent donc faudrait une fuite interne ou un RE (si jamais il y a une faille) pour que ça se produise
 
Bon de toute manière on savait déjà que Ledger c'est à fuir comme la peste, on peut maintenant rajouter Coldmachin (je ne sais même pas s'il y a un seul utilisateur de ce wallet sur le topic  )
 

Quand je parle d’une faille du même genre, c’est découvrir que l’imprévisibilité de la génération des seeds n’est pas aussi grande que prévue, peu importe la manière dont elle est découverte, que ça soit par étude du code ou par étude des résultats générés.
 
Ledger n’a pas eu de faille sur leurs devices à ma connaissance, c’est plutôt eux qui en découvrent chez les autres.
Mais pas de calibre cependant…

3,4*10^38 possibilités. Ça va, je dors tranquille pour l'instant
Il n'y a qu'avec l'arrivée du quantique que je m'inquièterai.

J’avais en mémoire plutôt un exposant 48.
Mais faut être honnête, je ne suis pas allé vérifier que les devices Ledger vont piocher dans toute cette gamme.
 
Demain, on va peut être apprendre qu’ils génèrent que sur une fourchette de 10^20  

 
A part l'étude du code du firmware (ce qui est le cas de l'attque de Coldtruc) il n'est pas possible d'identifier une faiblesse de randomisation en analysant les seeds générées
 
 

Je ne serais pas aussi affirmatif.
Sur un grand nombre de seeds générées, il doit être possible de détecter s’il y a des anomalies statistiques qui ressortent et en déduire un éventuel bug dans leur génération.

 
Ben non vu que la première étape de la génération d'une seed est de produire un hash à partir du RNG  
 
-> un hash n'est pas réversible, pas moyen de repérer l'anomalie
 
Donc comme mentionné ci-dessus, à moins d'avoir accès au code du RNG, pas possible de détecter une éventuelle faiblesse    
 
 
 
 

 
 
Non

 
L’idée serait de prendre des devices Ledger et de leur faire générer des seeds en boucle, donc tu notes à chaque fois la seed produite.
Bon, ça c’est dans l’hypothèse que tu puisses automatiser (i.e piloter le device depuis l’extérieur) cette étape, parce qu’évidemment s’il faut le faire à la main, c’est mort  

 
Ca c'est de l'argumentation
 
A défaut, piqûre de rappel via LLM:
 

2^256, donc 10^77. Un peu moins que le nombre d'atomes dans l'univers visible.
 
Mais le problème ce n'est pas le nombre de clés potentielles, c'est la concentration sur un sous-ensemble restreint si chaque clé n'a pas la même probabilité d'être générée.

 
Oui, c’est ce que j’entendais par « piocher dans une gamme restreinte ».

 
 
Tu peux demander à ton LLM si le ledger nano S s'est déjà fait piraté ou s'il y a eu des problèmes de sécurité du produit ?  
 
Pour 49€ sur amazon tu peux stocker tes cryptos en sécurité, tu conseillerais quel produit concurrent avec un écran pour moins de 50€ ?

 
Pas besoin: tout ce qu'il y a retenir c'est que Ledger est une boîte qui vend des produits de piètre qualité tant au niveau soft que hard, dirigée par des branquignols infoutus de révoquer les accès de ses anciens employés ou de sécuriser les données de ses clients et qui a menti à ceux-ci sur les specs de son Secure Element duquel la seed ne pouvait soit-disant pas être extraite
 

 

 
Aucune idée, mais si tu veux juste stocker tes cryptos en toute sécurité, je rappelle à tout hasard que qu'un bout de papier et un crayon est suffisant pour noter une seed générée offline

https://x.com/COLDCARDwallet/status/1447213375398846473

Sauf qu’à un moment, pour bouger tes cryptos, il va falloir signer avec ta clé privée.
Bon courage pour le faire avec un papier et un crayon  

 
Bord d'aile de merle
 
 
 

 
 
 
Donc tu n'as rien à repprocher directement au produit ledger nano S, tu n'as pas de produit concurrent à proposer à moins de 50€ avec écran.  
 
 
Un bout de papier, c'est vraiment très pratique pour faire de la DEFI par exemple
 
Tu peux aussi admettre qu'on puisse reprocher des choses à cette entreprise sans pour autant dire "Ledger c'est à fuir comme la peste".

 
+1
 
Un Ledger nano S, c'est quand même le gold standard.
 
Si vous n'aimez pas, proposez mieux hein.

Avec l'emballement du RC, les effondrements économiques à venir, la CRYPTO a un bel avenir

 
Si, t'as le Trezor Safe 3 dans cette gamme de prix
 
Il y a d'ailleurs 2 users sur ce topic qui cherchaient à faire l'acquisition d'un wallet dernièrement, et ils ont tous 2 choisis celui-ci  
 

 
Non, c'est pour ça que j'ai écris que c'est uniquement pour du stockage  
 

 
Si t'as encore envie de faire confiance à une boîte qui commence à traîner autant de casseroles, ça te regarde
 
Et il faut aussi dire ça à ceux qui viennent régulièrement poster ici des témoignages sur les tentatives de phishing/scam liées aux fuites de données clients. Je suis pas sûr qu'ils aient un jour envie de racheter un produit Ledger

Ah, parce que Trezor est mieux ?

Janvier 2024 : leak de leur base de données client via un accès tiers (comme Ledger enfait).
https://cryptoast.fr/trezor-66-000- [...] -securite/

Juin 2025 : mauvaise sécurisation de leur formulaire de contact, permettant à des scammeurs d'envoyer des mails de scam directement depuis les serveurs Trezor  
https://journalducoin.com/actualite [...] -phishing/

Et faut-il seulement parler des anciens modèles Trezor One et Model T, dont le microcontrôleur n'était pas assez sécurisé, et dont Kraken a montré qu'on pouvait extraire la seed en 15 minutes si on avait un accès physique (donc après un vol par exemple).
https://blog.kraken.com/product/sec [...] re-wallets

Bref, tu as des œillères et tu fais du Ledger bashing.

 
Largement, il n'y a même pas débat    
 
Comparaison via LLM
 

 
T'es sûr que c'est pas toi as des oeillères ?  
 

 
Toujours par LLM: