Coldcard hat ein neues Firmware-Update veröffentlicht, um die Sicherheit seiner Hardware-Wallets zu verbessern. Das Unternehmen erklärte, dass einige Wiederherstellungsphrasen, die in früheren Softwareversionen erstellt wurden, ein potenzielles Sicherheitsrisiko darstellen könnten und riet betroffenen Nutzern, eine neue Wiederherstellungsphrase zu erstellen und ihre Vermögenswerte auf die neue Wallet zu übertragen.
Wie bekannt ist, führte eine Sicherheitslücke in der Coldcard-Hardware-Wallet kürzlich zum Diebstahl von Bitcoin im Wert von über 70 Millionen US-Dollar aus den Wallets der Nutzer.
Coldcard hat Version 5.6.1 für die Mk4- und Mk5-Modelle sowie 1.5.1Q für das Q-Modell veröffentlicht. Das Update ist das Ergebnis einer umfassenden Sicherheitsüberprüfung, die etwa drei Wochen dauerte und auf den am 31. Juli veröffentlichten Notfall-Sicherheitspatch folgte.
Mit der neuen Firmware muss nun jede auf Coldcard-Geräten erstellte neue Wiederherstellungsphrase mindestens eine vom Nutzer bereitgestellte Quelle physischer Entropie enthalten.
Nutzer können dies mit einer der folgenden Optionen tun: mindestens 65 unregelmäßige Tastenanschläge, 50 physische Würfe mit einem Würfel oder 128 physische Münzwürfe.
Diese vom Nutzer erzeugte Zufälligkeit wird mit neuer Entropie kombiniert, die aus der STM32 TRNG-Hardware des Geräts und den sicheren Elementen SE1 sowie SE2 abgeleitet wird. Coldcard erklärte, dass diese Änderung den Prozess der Generierung von Wiederherstellungsphrasen widerstandsfähiger gegen potenzielle Angriffe machen soll.
Das Update ändert nicht nur die Art und Weise, wie Wiederherstellungsphrasen generiert werden. Die neue Version ermöglicht außerdem eine Echtzeit- und inkrementelle PSBT-Überprüfung vor dem Signierungsvorgang.
Zudem wurden die Sicherheitsmaßnahmen für USB-Verbindungen und Firmware-Update-Prozesse verstärkt und der Delta Mode-Isolationsmechanismus verbessert.
Das Update behebt mehrere Probleme im Zusammenhang mit der Sicherung aktiver Wallets, implementiert robustere Zufallszahlengeneratoren und macht die Fehlerüberprüfungen strenger. Verschiedene Verbesserungen bei der Sicherheit und Genauigkeit sind in das Update eingeflossen, ebenso wie Änderungen an den SIGHASH-Standardeinstellungen.
Der wichtigste Hinweis in der Coldcard-Mitteilung betrifft die aktuellen Wiederherstellungsphrasen.
Das Unternehmen betonte ausdrücklich, dass die Installation der neuen Firmware ein mögliches Sicherheitsproblem bei Wiederherstellungsphrasen, die mit zuvor betroffenen Softwareversionen erstellt wurden, nicht behebt.
Betroffene Nutzer müssen zunächst ihre Geräte auf die neue Firmware-Version aktualisieren, dann eine vollständig neue Wiederherstellungsphrase erstellen und verifizieren und anschließend ihre bestehenden Bitcoin-Vermögenswerte auf die neu erstellte Wallet übertragen.
Coldcard riet außerdem allen Mk4-, Mk5- und Q-Nutzern dringend, ihre Geräte so bald wie möglich zu aktualisieren und die digitale Signatur der heruntergeladenen Firmware-Datei zu überprüfen.
