Coldcard đã phát hành bản cập nhật firmware mới nhằm tăng cường tính bảo mật cho ví phần cứng của mình. Công ty cho biết một số cụm từ khôi phục được tạo ra trên các phiên bản phần mềm trước đây có thể tiềm ẩn rủi ro bảo mật và khuyến nghị những người dùng bị ảnh hưởng nên tạo cụm từ khôi phục mới và chuyển tài sản sang ví mới.
Như bạn đã biết, một lỗ hổng bảo mật trên ví phần cứng Coldcard gần đây đã dẫn đến việc đánh cắp hơn 70 triệu USD Bitcoin từ ví của người dùng.
Coldcard đã phát hành phiên bản 5.6.1 dành cho các mẫu Mk4 và Mk5, và 1.5.1Q dành cho mẫu Q. Bản cập nhật này là kết quả của một cuộc đánh giá bảo mật tổng thể kéo dài khoảng ba tuần, sau khi bản vá bảo mật khẩn cấp được ra mắt vào ngày 31 tháng 7.
Với firmware mới, mỗi cụm khôi phục mới được tạo ra trên các thiết bị Coldcard giờ đây buộc phải bao gồm ít nhất một nguồn entropy vật lý do người dùng cung cấp.
Người dùng có thể thực hiện điều này bằng một trong các lựa chọn sau: ít nhất 65 lần gõ phím không đều, 50 lần tung xúc xắc vật lý hoặc 128 lần tung đồng xu vật lý.
Yếu tố ngẫu nhiên do người dùng tạo ra này sẽ được kết hợp với entropy mới được lấy từ phần cứng STM32 TRNG của thiết bị và các phần tử bảo mật SE1 và SE2. Coldcard cho biết thay đổi này nhằm tăng khả năng chống chịu trong quá trình tạo cụm khôi phục trước các cuộc tấn công tiềm ẩn.
Bản cập nhật không chỉ thay đổi cách tạo cụm khôi phục, mà phiên bản mới còn cho phép xác minh PSBT theo thời gian thực và theo từng bước trước khi tiến hành ký giao dịch.
Ngoài ra, các biện pháp bảo mật cho kết nối USB và quy trình cập nhật firmware cũng đã được tăng cường, cùng với việc cải thiện cơ chế cách ly Delta Mode.
Bản cập nhật xử lý một số vấn đề liên quan đến việc sao lưu ví đang hoạt động, đồng thời bổ sung các bộ sinh số ngẫu nhiên mạnh mẽ hơn và kiểm tra lỗi nghiêm ngặt hơn. Nhiều cải tiến liên quan đến bảo mật và độ chính xác cũng đã được đưa vào, cùng với sự thay đổi các thiết lập mặc định của SIGHASH.
Cảnh báo quan trọng nhất trong thông báo của Coldcard liên quan đến các cụm khôi phục hiện tại.
Công ty nhấn mạnh rằng việc cài đặt firmware mới không loại bỏ các vấn đề bảo mật tiềm tàng trong các cụm khôi phục được tạo ra bằng các phiên bản phần mềm bị ảnh hưởng trước đó.
Người dùng bị ảnh hưởng bởi vấn đề bảo mật cần đầu tiên cập nhật thiết bị lên phiên bản firmware mới, sau đó tạo và xác minh hoàn toàn một cụm khôi phục mới, đồng thời chuyển số Bitcoin đang có sang ví vừa được tạo mới.
Coldcard cũng khuyến nghị mạnh mẽ tất cả người dùng Mk4, Mk5 và Q cập nhật thiết bị ngay khi có thể và xác minh chữ ký số của tệp firmware vừa tải về.
