Компания Coldcard выпустила новое обновление прошивки для повышения безопасности своих аппаратных кошельков. Компания заявила, что некоторые фразы восстановления, созданные в предыдущих версиях программного обеспечения, могут представлять потенциальный риск безопасности, и посоветовала пострадавшим пользователям создать новую фразу восстановления и перевести свои активы на новый кошелек.
Как вам известно, уязвимость в системе безопасности аппаратного кошелька Coldcard недавно привела к краже биткоинов на сумму более 70 миллионов долларов из кошельков пользователей.
Компания Coldcard выпустила версию 5.6.1 для моделей Mk4 и Mk5, а также версию 1.5.1Q для модели Q. Обновление стало результатом всесторонней проверки безопасности, длившейся около трех недель, после экстренного патча безопасности, выпущенного 31 июля.
С новой прошивкой каждая новая строка восстановления, создаваемая на устройствах Coldcard, теперь должна включать как минимум один предоставленный пользователем источник физической энтропии.
Пользователи смогут сделать это, используя один из следующих вариантов: не менее 65 нерегулярных нажатий клавиш, 50 бросков игральных костей или 128 бросков монеты.
Эта генерируемая пользователем случайность будет объединена с новой энтропией, полученной от аппаратного генератора случайных чисел STM32 и защищенных элементов SE1 и SE2 устройства. Компания Coldcard заявила, что это изменение направлено на повышение устойчивости процесса генерации строки восстановления к потенциальным атакам.
Обновление меняет не только способ генерации заявлений о восстановлении. Новая версия также позволяет выполнять проверку PSBT в режиме реального времени и поэтапную проверку перед процессом подписания.
Кроме того, были усилены меры безопасности для USB-соединений и процессов обновления прошивки, а также улучшен механизм изоляции в режиме Delta Mode.
Обновление устраняет ряд проблем, связанных с резервным копированием активных кошельков, а также внедряет более надежные генераторы случайных чисел и делает проверки на ошибки более строгими. В обновление включены различные улучшения безопасности и точности, а также изменения в настройках SIGHASH по умолчанию.
Наиболее важное замечание в заявлении Coldcard касается текущих отчетов о восстановлении.
Компания особо подчеркнула, что установка новой прошивки не устраняет потенциальную проблему безопасности в строках восстановления, созданных с использованием ранее затронутых версий программного обеспечения.
Пользователям, затронутым предупреждением о безопасности, необходимо сначала обновить свои устройства до новой версии прошивки, затем создать и проверить совершенно новую строку восстановления и перевести имеющиеся у них биткоины в вновь созданный кошелек.
Компания Coldcard также настоятельно рекомендовала всем пользователям устройств Mk4, Mk5 и Q как можно скорее обновить свои устройства и проверить цифровую подпись загруженного файла прошивки.
*Это не инвестиционная рекомендация.
