Coldcard yêu cầu 65 lần nhấn phím sau khi khai thác hạt giống, trong khi các quỹ bị lộ vẫn phải di chuyển

Coinkite, nhà sản xuất ví phần cứng Bitcoin Coldcard, đã phát hành firmware tiêu chuẩn mới vào ngày 20 tháng 8, buộc người dùng phải thêm sự ngẫu nhiên vật lý mỗi khi họ tạo ra một hạt giống.

Các chủ sở hữu tạo ra một hạt giống sau khi cài đặt phiên bản sửa lỗi hiện tại có thể sử dụng quy trình cứng hóa. Các chủ sở hữu vẫn dựa vào một hạt giống được tạo ra bởi firmware bị ảnh hưởng phải tạo ra một hạt giống khác và chuyển quỹ trừ khi ví đó đáp ứng ngoại lệ ném xúc xắc.

Trong quá trình tạo hạt giống tiêu chuẩn, mỗi hạt giống kết hợp entropy thiết bị mới với một nguồn đầu vào con người yêu cầu: ít nhất 65 lần nhấn phím được thực hiện ở các khoảng thời gian không thể đoán trước, 50 lần ném xúc xắc sáu mặt vật lý, hoặc 128 lần lật đồng xu vật lý. Yêu cầu này giảm sự phụ thuộc vào bộ sinh số ngẫu nhiên của ví.

Trạng thái bảo mật hiện tại của Coldcard khuyến nghị phiên bản 5.6.1 cho các thiết bị Mk4 và Mk5 và 1.5.1Q cho các thiết bị Q. Danh sách phơi bày trong thông báo rộng hơn và theo dõi cụ thể. Hướng dẫn di chuyển chính thức của Coinkite bao gồm firmware Mk2 và Mk3 từ 4.0.1 đến 4.1.9; firmware tiêu chuẩn Mk4 và Mk5 trước 5.6.0 và firmware Edge trước 6.6.0X; và firmware tiêu chuẩn Q trước 1.5.0Q và firmware Edge trước 6.6.0QX.

Phân tích kỹ thuật độc lập của Block sử dụng ranh giới Mk2 và Mk3 rộng hơn bao gồm phiên bản 4.0.0. Các chủ sở hữu của phiên bản đó không nên coi ranh giới nhà cung cấp là bằng chứng về sự an toàn.

Cài đặt firmware sửa lỗi không thay đổi một hạt giống cũ. Trừ khi ngoại lệ ném xúc xắc trong thông báo áp dụng, hướng dẫn di chuyển của Coinkite yêu cầu người dùng bị ảnh hưởng tạo ra một hạt giống hoàn toàn mới, xác minh bản sao lưu và dấu vân tay ví, xác nhận địa chỉ nhận trên thiết bị, gửi một giao dịch thử nghiệm nhỏ, và sau đó chuyển mọi số dư liên quan đến hạt giống cũ. Việc sao chép hoặc khôi phục ví không tạo ra một hạt giống mới.

Việc di chuyển không bắt buộc đối với lỗi RNG này khi người dùng đã thêm ít nhất 50 lần ném xúc xắc công bằng, độc lập và riêng tư thông qua quy trình bị ảnh hưởng và không bao giờ ghi lại hoặc phơi bày chuỗi. Ít lần ném hơn, hoặc sự không chắc chắn về những điều kiện đó, có nghĩa là người dùng nên di chuyển.

Block đã truy tìm khuyết điểm ban đầu đến mã có thể định tuyến các yêu cầu đến một MicroPython dự phòng xác định vì một cờ tính năng được định nghĩa là không có giá trị đã được coi là có mặt. Đầu vào con người bắt buộc thêm entropy bên ngoài vào các hạt giống tiêu chuẩn mới, hạn chế thiệt hại nếu sự ngẫu nhiên của thiết bị lại thất bại. Nó không thể thêm entropy một cách hồi tố vào một hạt giống đã tồn tại.

Coldcard xử lý dòng chảy hỗn hợp khác với tùy chọn Ném Xúc Xắc Chỉ Nâng Cao. Chế độ đó loại trừ sự ngẫu nhiên phần cứng và yêu cầu 50 lần ném cho một hạt giống 12 từ hoặc 99 cho một hạt giống 24 từ.

Gói firmware cũng đến các đường dẫn ký và dữ liệu. Nó ràng buộc việc xem xét USB với một kiểm tra PSBT theo giai đoạn, kiểm tra lại byte giao dịch trước khi ký, chặn các chế độ SIGHASH_SINGLE theo mặc định, hạn chế tải xuống USB chỉ đến kết quả phiên mã hóa hiện tại, và xác thực độ dài tệp firmware. Nó thêm các điểm dừng lỗi RNG bền vững, kiểm tra liên kết phần cứng-RNG tại thời điểm khởi động, nhiều cách ly Delta Mode hơn, và hành vi sao lưu ví chủ động.

Trang trạng thái liệt kê việc xem xét nguồn mục tiêu, một bài kiểm tra đường dẫn RNG thiết bị thực, và một bản dựng có thể tái tạo và theo dõi đường dẫn xúc xắc, nhưng Coldcard cho biết chúng không đủ để thực hiện một cuộc kiểm toán đầy đủ mọi nhị phân đã sửa. Coinkite cho biết một số khách hàng đã chịu thiệt hại nghiêm trọng và cơ quan thực thi pháp luật đang điều tra, nhưng họ chưa công bố số lượng nạn nhân đã xác minh hoặc tổng thiệt hại.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.