🔒 Bug sa Coldcard: mahinang seed na ginawa mula 2021, inaanyayahan ni Coinkite ang mga gumagamit na ilipat ang kanilang pera agad Bumaba sa mas kakaunti sa 24 oras pagkatapos ng pagkakawala ng 594 BTC, naglabas ang Coinkite ng isang security advisory na nagpapatotoo sa isang kamalian sa paggawa ng seed sa iba’t ibang modelo ng Coldcard. Ang mga seed na ginawa sa Mk3 na may firmware 4.0.1 (Marso 2021) o huli ay may pinakamababang estymadong search space na halos 40 bits, na ginagawang posible ang pag-recompute ng key sa iskala ng industriya. Ang mga modelo na Mk4, Mk5 at Q ay nasasakop din, na nagpapagawa ng seed na may halos 72 bits ng entropy kesa sa inaasahang 128, bago ang mga corrective firmware releases (5.6.0 para sa Mk4/Mk5, 1.5.0Q para sa Q). Babala ng Coinkite sa lahat ng naiimpluwensyahan: “Nasa panganib ang mga pondo” at inirerekomenda na ilipat agad ang mga ito. Ang Tapsigner, Opendime at Satscard ay hindi naiimpluwensyahan, dahil gumagana sila sa iba’t ibang codebases. Hindi direktang ikinokonekta ng advisory ang vulnerability sa pagkakawala noong 30 Hulyo, bagaman ang timeline ay nakakatanda: sinabi ng CEO ni Coinkite, NVK, ilang oras bago ang advisory na “walang ebidensya ng kamalian” sa random number generator ng device. Ayon sa teknikal na pagsusuri ng Coinkite, ipinakilala ang bug noong 2021 habang nagmigrasyon sila sa libsecp256k1, at sa proseso ay natanggal ang hardware entropy source. Katotohanan ng kumpanya: “Ang cryptographic na pagpili ay tama. Ang integration ay hindi.” https://t.co/5ap9wxt53y