Coldcard тепер вимагає 65 натискань клавіш після експлуатації насіння, в той час як відкриті кошти все ще повинні бути переміщені

Coinkite, виробник апаратного гаманця Bitcoin Coldcard, випустив нову стандартну прошивку 20 серпня, яка змушує користувачів додавати фізичну випадковість щоразу, коли вони генерують насіння.

Власники, які генерують насіння після встановлення поточної виправленої версії, можуть використовувати посилений процес. Власники, які все ще покладаються на насіння, створене за допомогою уразливої прошивки, повинні згенерувати інше насіння та перевести кошти, якщо цей гаманець не підпадає під виняток з кидання кубиків.

Під час стандартного створення насіння кожне насіння поєднує нову ентропію пристрою з одним обов'язковим джерелом людського вводу: щонайменше 65 натискань клавіш, зроблених у непередбачувані інтервали, 50 кидків фізичного шестигранного кубика або 128 фізичних підкидань монети. Ця вимога зменшує залежність від генератора випадкових чисел гаманця.

Поточний статус безпеки Coldcard рекомендує версію 5.6.1 для пристроїв Mk4 і Mk5 та 1.5.1Q для пристроїв Q. Список уразливостей в рекомендаціях є ширшим і специфічним для треків. Офіційні рекомендації Coinkite щодо міграції охоплюють прошивки Mk2 і Mk3 з 4.0.1 до 4.1.9; стандартні прошивки Mk4 і Mk5 до 5.6.0 та Edge-прошивки до 6.6.0X; та стандартні прошивки Q до 1.5.0Q та Edge-прошивки до 6.6.0QX.

Незалежний технічний аналіз Block використовує ширшу межу Mk2 і Mk3, яка включає версію 4.0.0. Власники цієї версії не повинні вважати межу постачальника доказом безпеки.

Встановлення виправленої прошивки не змінює старе насіння. Якщо виняток з кидання кубиків не застосовується, посібник з міграції Coinkite говорить постраждалим користувачам згенерувати дійсно нове насіння, перевірити його резервну копію та відбиток гаманця, підтвердити адресу отримання на пристрої, надіслати невелику тестову транзакцію, а потім перевести всі залишки, пов'язані зі старим насінням. Клонування або відновлення гаманця не створює нового насіння.

Міграція не є обов'язковою для цього недоліку RNG, коли користувач додав щонайменше 50 чесних, незалежних і приватних фізичних кидків кубика через уразливий робочий процес і ніколи не записував або не розкривав послідовність. Менше кидків або невизначеність щодо цих умов означає, що користувач повинен мігрувати.

Block відстежив початковий дефект до коду, який міг перенаправляти запити до детермінованого резервного копіювання MicroPython, оскільки прапор функції, визначений як нуль, розглядався як присутній. Обов'язковий людський ввід додає зовнішню ентропію до нових стандартних насінь, обмежуючи шкоду, якщо випадковість пристрою знову зазнає невдачі. Це не може ретроактивно додати ентропію до вже існуючого насіння.

Coldcard по-різному ставиться до змішаного потоку в порівнянні з розширеним варіантом "Тільки кидки кубиків". Цей режим виключає апаратну випадковість і вимагає 50 кидків для 12-словного насіння або 99 для 24-словного насіння.

Пакет прошивки також охоплює шляхи підпису та даних. Він прив'язує перевірку USB до етапованої контрольної суми PSBT, повторно перевіряє байти транзакції перед підписанням, за замовчуванням блокує режими SIGHASH_SINGLE, обмежує завантаження USB до поточного результату зашифрованої сесії та перевіряє довжину файлу прошивки. Він додає постійні зупинки недоліку RNG, перевірку зв'язку апаратного RNG під час завантаження, більше ізоляції режиму Delta та поведінку резервного копіювання активного гаманця.

Сторінка статусу містить цільову перевірку джерела, тест шляху RNG реального пристрою та відтворювальну збірку та трасування шляху кубика, але Coldcard стверджує, що це не становить повного аудиту кожного виправленого бінарного файлу. Coinkite повідомляє, що деякі клієнти зазнали серйозних втрат, і правоохоронні органи проводять розслідування, але не опублікували перевірену кількість жертв або загальну суму втрат.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.