Təqdim olunan qısa xəbərə əsasən, Coinkite və onun həmtəsisçiləri Rodolfo Novak ilə Peter D. Gray toxum yaradılması ilə əlaqəli olduğu iddia edilən Coldcard proqram təminatı qüsurlarına görə Ontarioda irəli sürülən kollektiv iddia ilə üzləşirlər. Xəbərdə iddianın kollektiv iddia statusunun tanınmasını və zərərin ödənilməsini tələb etdiyi, Coinkite və Block-a istinad edilən sonrakı mənbə parçalarında isə problemin Coldcard-ın müəyyən proqram təminatı qollarında toxum yaradılmasına təsir edən təsadüfilik qüsuru kimi təsvir edildiyi bildirilir.

Ontariodakı iddianın əhatə etdiyi iddialar

Mövcud sübutlar işin statusu ilə bağlı məhdud nəticə çıxarmağa imkan verir. Təqdim olunan qısa xəbərdə Coinkite və onun həmtəsisçilərinin standart Coldcard proqram təminatında həqiqi təsadüfi ədədlər generatoru əvəzinə proqnozlaşdırıla bilən proqram psevdotəsadüfi ədədlər generatorundan istifadə edildiyi iddiası ilə Ontarioda irəli sürülən kollektiv iddia ilə üzləşdiyi deyilir. İddiaya görə, bu hal bərpa ifadələrinin yenidən yaradılmasına imkan verib və istifadəçiləri mümkün icazəsiz giriş riski ilə qarşı-qarşıya qoyub.

Həmin hesabatda iddianın kollektiv iddia statusunun tanınmasını və zərərin ödənilməsini tələb etdiyi, həmçinin İstehlakçıların Hüquqlarının Müdafiəsi Aktı, Malların Satışı Aktı, səhlənkarlıq və müqavilənin pozulması ilə bağlı iddiaları əhatə etdiyi bildirilir. Lakin sonrakı hər hansı məhkəmə mərhələsi müəyyən edilməyib: təqdim olunan araşdırmada uyğun oxunaqlı məhkəmə ərizəsi, iş reyestri qeydi, kollektiv iddia statusu ilə bağlı qərar və ya təyin olunmuş dinləmə aşkar edilməyib. Buna görə hadisəni bildirilən irəli sürülmüş kollektiv iddia kimi təqdim etmək olar, lakin onu tanınmış kollektiv məhkəmə icraatı və ya məhkəmənin təsdiqlədiyi qüsur işi kimi xarakterizə etmək olmaz.

Hansı Coldcard proqram təminatı versiyalarının təsirləndiyi bildirilir

Sonrakı mənbə parçaları məhsulun əhatə dairəsi baxımından məhkəmə iddiası barədə qısa xəbərdən daha konkretdir. Coinkite-a aid edilən axtarış nəticəsi parçasında problemin Mk2 və Mk3 üçün 4.0.1-dən 4.1.9-dək proqram təminatı versiyalarında mövcud olduğu, həmçinin standart 5.6.0 versiyasından və ya Edge 6.6.0X versiyasından əvvəl Mk4 və Mk5-də, eləcə də standart 1.5.0Q versiyasından və ya Edge 6.6.0QX versiyasından əvvəl Q-da yaradılan toxumlara təsir etdiyi deyilir. Həmin parçada Mk4, Mk5 və Q modellərinə təsirin köhnə modellərlə müqayisədə daha az ciddi, lakin yenə də ciddi olduğu bildirilir.

Block Engineering Blog-dakı axtarış nəticəsi parçası bildirilən mexanizmi daha texniki şəkildə izah edir. Orada Coldcard proqram təminatında RNG inteqrasiya xətasının olduğu və bunun ngu.random funksiyasının STM32-nin aparat təsadüfi ədədlər generatoru əvəzinə deterministik MicroPython ehtiyat mexanizmindən istifadə etməsinə səbəb olduğu qeyd edilir. Bu vacibdir, çünki məsələni hər Coldcard funksiyasının və ya hər cihaz vəziyyətinin komprometasiya olunduğunun sübutu kimi deyil, toxum yaradılmasındakı zəiflik kimi çərçivələyir.

Coinkite parçası daha bir mühüm sərhədi göstərir: orada problemin cihazın yaratdığı entropiyaya təsir etdiyi, lakin toxum yaradılarkən zərlə təmin edilən müstəqil entropiyanı aradan qaldırmadığı deyilir. Bu, hər hansı konkret pul kisəsinin riskə məruz qalmasını müəyyən etmir, lakin bildirilən riski toxumun necə yaradıldığı ilə məhdudlaşdırır. Bununla belə, bir detal hələ aydın deyil: üçüncü tərəfin GitHub-dakı konsept sübutu parçasında Mk2 və Mk3 üçün 4.0.0-dan 4.1.9-dək versiyalar göstərilir, Coinkite parçası isə 4.0.1-dən başlayır. Aşağı hədddəki bu fərq burada həll olunmamış məsələ kimi qiymətləndirilməlidir.

İşin statusunun aydınlaşması üçün hələ nə çatışmır

Növbəti həlledici sənəd icraatın adını göstərən oxunaqlı Ontario məhkəmə ərizəsi, iş reyestri qeydi və ya iddiaçıların hüquq firmasının iş səhifəsi olardı. Bu sənəd işin rəsmi adını, təqdim olunma tarixini, təklif edilən qrup tərifini və kollektiv iddia statusu üçün hər hansı vəsatətin həqiqətən təqdim edilib-edilmədiyini və ya təyin olunub-olunmadığını müəyyənləşdirərdi.

Həmin vaxta qədər mövcud sübutlarla dəstəklənən ən faydalı fərq sadədir: bu materiallar toplusunda hüquqi status bildirilən irəli sürülmüş kollektiv iddia səviyyəsində qalır, təhlükəsizlik problemi isə təsirlənmiş proqram təminatı qolları və toxum yaradılmasının əhatə dairəsi barədə sonrakı mənbə parçalarında daha konkret təsvir edilir.