Coldcard ต้องการการกดปุ่ม 65 ครั้งหลังจากการโจมตี seed ในขณะที่เงินที่ถูกเปิดเผยยังต้องย้าย

Coinkite ผู้ผลิตกระเป๋าเงินฮาร์ดแวร์ Bitcoin Coldcard ได้ปล่อยเฟิร์มแวร์มาตรฐานใหม่เมื่อวันที่ 20 สิงหาคม ซึ่งบังคับให้ผู้ใช้เพิ่มความสุ่มทางกายภาพเมื่อสร้าง seed

เจ้าของที่สร้าง seed หลังจากติดตั้งการปล่อยที่แก้ไขในปัจจุบันสามารถใช้กระบวนการที่แข็งแกร่งขึ้นได้ เจ้าของที่ยังพึ่งพา seed ที่ผลิตโดยเฟิร์มแวร์ที่ได้รับผลกระทบต้องสร้าง seed ใหม่และโอนเงินเว้นแต่กระเป๋าเงินนั้นจะตรงตามข้อยกเว้นการทอยลูกเต๋า

ในระหว่างการสร้าง seed มาตรฐาน ทุก seed จะรวมความไม่แน่นอนจากอุปกรณ์ใหม่กับแหล่งข้อมูลที่ต้องการจากมนุษย์: การกดปุ่มอย่างน้อย 65 ครั้งในช่วงเวลาที่ไม่สามารถคาดเดาได้, การทอยลูกเต๋าหกด้านทางกายภาพ 50 ครั้ง หรือการพลิกเหรียญทางกายภาพ 128 ครั้ง ข้อกำหนดนี้ช่วยลดการพึ่งพาเครื่องกำเนิดหมายเลขสุ่มของกระเป๋าเงินเพียงอย่างเดียว

สถานะความปลอดภัยปัจจุบันของ Coldcard แนะนำให้ใช้เวอร์ชัน 5.6.1 สำหรับอุปกรณ์ Mk4 และ Mk5 และ 1.5.1Q สำหรับอุปกรณ์ Q รายการการเปิดเผยในคำแนะนำกว้างขึ้นและเฉพาะเจาะจงมากขึ้น คำแนะนำการย้ายของ Coinkite ครอบคลุมเฟิร์มแวร์ Mk2 และ Mk3 ตั้งแต่ 4.0.1 ถึง 4.1.9; เฟิร์มแวร์มาตรฐาน Mk4 และ Mk5 ก่อน 5.6.0 และเฟิร์มแวร์ Edge ก่อน 6.6.0X; และเฟิร์มแวร์มาตรฐาน Q ก่อน 1.5.0Q และเฟิร์มแวร์ Edge ก่อน 6.6.0QX

การวิเคราะห์ทางเทคนิคอิสระของ Block ใช้ขอบเขต Mk2 และ Mk3 ที่กว้างขึ้นซึ่งรวมถึงเวอร์ชัน 4.0.0 เจ้าของการปล่อยนั้นไม่ควรถือว่าขอบเขตของผู้ขายเป็นหลักฐานความปลอดภัย

การติดตั้งเฟิร์มแวร์ที่แก้ไขไม่ได้เปลี่ยน seed เก่า เว้นแต่ข้อยกเว้นการทอยลูกเต๋าของคำแนะนำจะใช้ คำแนะนำการย้ายของ Coinkite บอกให้ผู้ใช้ที่ได้รับผลกระทบสร้าง seed ใหม่ที่แท้จริง, ตรวจสอบการสำรองข้อมูลและลายนิ้วมือของกระเป๋าเงิน, ยืนยันที่อยู่รับเงินบนอุปกรณ์, ส่งธุรกรรมทดสอบขนาดเล็ก, และจากนั้นโอนยอดเงินทั้งหมดที่เชื่อมโยงกับ seed เก่า การทำสำเนาหรือการกู้คืนกระเป๋าเงินไม่ได้สร้าง seed ใหม่

การย้ายไม่จำเป็นสำหรับข้อบกพร่อง RNG นี้เมื่อผู้ใช้เพิ่มการทอยลูกเต๋าทางกายภาพที่ยุติธรรม, เป็นอิสระและเป็นส่วนตัวอย่างน้อย 50 ครั้งผ่านกระบวนการที่ได้รับผลกระทบและไม่เคยบันทึกหรือเปิดเผยลำดับนั้น การทอยน้อยลง หรือความไม่แน่นอนเกี่ยวกับเงื่อนไขเหล่านั้น หมายความว่าผู้ใช้ควรย้าย

Block ติดตามข้อบกพร่องเดิมไปยังโค้ดที่สามารถส่งคำขอไปยัง MicroPython fallback ที่กำหนดไว้ล่วงหน้าเพราะฟีเจอร์แฟล็กที่กำหนดเป็นศูนย์ถูกปฏิบัติว่าเป็นที่มีอยู่ การป้อนข้อมูลจากมนุษย์ที่บังคับเพิ่มความไม่แน่นอนจากภายนอกไปยัง seed มาตรฐานใหม่, จำกัดความเสียหายหากความสุ่มของอุปกรณ์ล้มเหลวอีกครั้ง มันไม่สามารถเพิ่มความไม่แน่นอนย้อนหลังไปยัง seed ที่มีอยู่แล้ว

Coldcard ปฏิบัติต่อการไหลผสมแตกต่างจากตัวเลือกการทอยลูกเต๋าเฉพาะขั้นสูง โหมดนั้นไม่รวมความสุ่มจากฮาร์ดแวร์และต้องการการทอย 50 ครั้งสำหรับ seed 12 คำหรือ 99 สำหรับ seed 24 คำ

แพ็คเกจเฟิร์มแวร์ยังเข้าถึงเส้นทางการเซ็นชื่อและข้อมูลด้วย มันผูกการตรวจสอบ USB กับการตรวจสอบ PSBT ที่จัดระเบียบ, ตรวจสอบธุรกรรมไบต์ก่อนเซ็น, บล็อกโหมด SIGHASH_SINGLE โดยค่าเริ่มต้น, จำกัดการดาวน์โหลด USB ให้กับผลลัพธ์เซสชันที่เข้ารหัสในปัจจุบัน, และตรวจสอบความยาวไฟล์เฟิร์มแวร์ มันเพิ่มการหยุดข้อบกพร่อง RNG ที่ถาวร, การตรวจสอบการเชื่อมโยงฮาร์ดแวร์-RNG ในช่วงเวลาเริ่มต้น, การแยก Delta Mode ที่มากขึ้น, และพฤติกรรมการสำรองข้อมูลของกระเป๋าเงินที่ใช้งานอยู่

หน้าสถานะแสดงรายการการตรวจสอบแหล่งที่มาที่ตั้งเป้า, การทดสอบเส้นทาง RNG ของอุปกรณ์จริง, และการสร้างที่สามารถทำซ้ำได้และการติดตามเส้นทางลูกเต๋า แต่ Coldcard กล่าวว่าไม่ได้หมายความว่าจะมีการตรวจสอบแบบเต็มรูปแบบของไบนารีที่แก้ไขทั้งหมด Coinkite กล่าวว่า ลูกค้าบางรายประสบกับการสูญเสียอย่างรุนแรงและหน่วยงานบังคับใช้กฎหมายกำลังสอบสวน แต่ยังไม่ได้เผยแพร่จำนวนเหยื่อที่ได้รับการตรวจสอบหรือยอดรวมการสูญเสีย

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ