Selon une alerte d’actualité fournie, Coinkite et ses cofondateurs, Rodolfo Novak et Peter D. Gray, font face en Ontario à un projet d’action collective portant sur de présumées failles du firmware Coldcard liées à la génération de seed. Cette alerte indique que la demande vise la certification de l’action collective et l’obtention de dommages-intérêts. Des extraits de sources ultérieures attribués à Coinkite et à Block décrivent toutefois le problème signalé comme une faiblesse de l’aléa affectant la création de seeds sur certaines branches de firmware Coldcard.

Ce que couvrirait l’action en Ontario

Les éléments actuellement disponibles ne permettent de conclure qu’à un stade limité. L’alerte fournie affirme que Coinkite et ses cofondateurs font l’objet d’un projet d’action collective en Ontario, au motif que le firmware standard de Coldcard aurait employé un générateur logiciel de nombres pseudo-aléatoires prévisible plutôt qu’un véritable générateur de nombres aléatoires. Les phrases de récupération auraient ainsi pu être recréées, exposant les utilisateurs à un risque d’accès non autorisé.

Le même document indique que la demande vise la certification de l’action collective et des dommages-intérêts, et qu’elle invoque la Loi sur la protection du consommateur, la Loi sur la vente de marchandises, la négligence et l’inexécution contractuelle. En revanche, aucune étape judiciaire ultérieure n’est établie : les recherches fournies n’ont identifié ni acte de procédure lisible correspondant, ni inscription au rôle, ni décision de certification, ni audience programmée. L’affaire peut donc être décrite comme un projet d’action collective rapporté par des sources, mais non comme une action collective certifiée ou un dossier dans lequel un tribunal aurait confirmé l’existence d’un défaut.

Quelles versions de firmware Coldcard seraient concernées

Les extraits de sources ultérieures sont plus précis que l’alerte judiciaire sur le périmètre des produits concernés. Un extrait de résultat de recherche attribué à Coinkite indique que le problème touchait les firmwares 4.0.1 à 4.1.9 des Mk2 et Mk3. Il aurait également affecté les seeds générées sur les Mk4 et Mk5 avant la version standard 5.6.0 ou la version Edge 6.6.0X, ainsi que sur le Q avant la version standard 1.5.0Q ou la version Edge 6.6.0QX. Le même extrait précise que les conséquences étaient moins graves sur les Mk4, Mk5 et Q que sur les anciens modèles, tout en restant sérieuses.

Un extrait de résultat de recherche du Block Engineering Blog décrit le mécanisme signalé de manière plus technique : une erreur d’intégration du générateur de nombres aléatoires dans le firmware Coldcard aurait conduit ngu.random à utiliser une solution de repli déterministe de MicroPython, au lieu du générateur matériel de nombres aléatoires STM32. Ce point est important : il présente le problème comme une faiblesse lors de la génération des seeds, et non comme la preuve que toutes les fonctions de Coldcard ou tous les états des appareils auraient été compromis.

L’extrait de Coinkite fixe aussi une limite importante : il indique que le problème concernait l’entropie générée par l’appareil et n’éliminait pas l’entropie indépendante apportée par des dés lors de la création d’une seed. Cela ne permet pas de trancher l’exposition de chaque portefeuille, mais circonscrit le risque signalé à la façon dont la seed a été créée. Un point demeure toutefois non résolu : un extrait de preuve de concept GitHub émanant d’un tiers mentionne les versions 4.0.0 à 4.1.9 des Mk2 et Mk3, tandis que l’extrait de Coinkite commence à la version 4.0.1. Cette divergence sur la borne inférieure doit donc rester considérée comme non tranchée.

Ce qui manque encore pour établir clairement le statut de l’affaire

Le document décisif serait un acte de procédure lisible déposé devant un tribunal de l’Ontario, une inscription au rôle ou une page de cabinet d’avocats représentant les demandeurs identifiant l’affaire. Ces éléments permettraient d’établir l’intitulé de la cause, la date de dépôt, la définition proposée du groupe et l’existence éventuelle d’une demande de certification effectivement déposée ou inscrite à l’audience.

D’ici là, la distinction la plus utile étayée par les sources est simple : dans cet ensemble d’éléments, le statut juridique reste celui d’un projet d’action collective rapporté, tandis que le problème de sécurité est décrit plus concrètement par les extraits ultérieurs relatifs aux branches de firmware concernées et au périmètre de la génération de seeds.