Le PDG de Foundation Devices affirme que la faille d'entropie de Coldcard pourrait provenir de la réécriture du firmware en 2021.

Selon un article publié sur X par Bitcoin News et relayé par Odaily, le PDG de Foundation Devices, Zach Herbert, a déclaré que la faille d'entropie de Coldcard semble avoir été introduite lors d'une importante réécriture du firmware en mars 2021, au cours de laquelle le code GPL restant du wallet a été remplacé par une nouvelle bibliothèque de cryptographie. Herbert a présenté une chronologie indiquant que Foundation avait annoncé le lancement de Passport en juillet 2020, utilisant alors le firmware GPL de Coldcard ; par la suite, Coinkite est passé à une licence de code source disponible et a entamé une refonte majeure du code. Il a souligné que cette réécriture visait aussi à des améliorations techniques, telles que l'intégration de la libsecp256k1 de Bitcoin Core, une mise en œuvre cryptographique plus rapide et des builds reproductibles. Herbert a précisé qu'il n'y avait aucune preuve indiquant que le seul facteur de la licence a causé la faille, mais que celle-ci a été introduite lors du même commit touchant 120 fichiers, qui a supprimé la dépendance au code GPL restant.