Jika Anda memiliki Coldcard Mk3 yang tersimpan di dalam laci, ini adalah minggu yang tepat untuk mengeluarkannya. Coinkite telah mengeluarkan peringatan keamanan yang memperingatkan bahwa seed yang dihasilkan pada perangkat Mk3 yang menjalankan firmware versi 4.0.1 hingga 5.0.3 mungkin telah dikompromikan, mengindikasikan kemungkinan kelemahan pada generator angka acak perangkat tersebut.
Peringatan tersebut ditampilkan secara mencolok di halaman unduhan firmware Coinkite, yang menandakan ini bukan pengungkapan diam-diam yang tersembunyi di dalam changelog.
Apa sebenarnya arti dari kelemahan tersebut
Ketika Anda mengatur hardware wallet, perangkat menghasilkan seed, rangkaian kata yang merupakan kunci utama untuk semua hal di dompet Anda. Seed tersebut seharusnya acak, benar-benar acak, sehingga tidak ada yang bisa menebak atau mereproduksinya. Jika RNG memiliki kelemahan, seed yang dihasilkan mungkin tidak seacak yang tampak, dan berpotensi dapat direproduksi oleh seseorang yang mengetahui kelemahan tersebut.
Rentang firmware yang terdampak mencakup dari versi 4.0.1, dirilis pada Maret 2021, hingga versi 5.0.3. Perangkat Mk3 mana pun yang menghasilkan seed saat menjalankan salah satu versi tersebut dapat terdampak. Analisis awal Coinkite mengonfirmasi bahwa model Mk4, Q, dan Mk5 tidak terpengaruh oleh masalah ini.
Coinkite belum mengungkapkan apakah kelemahan tersebut telah dieksploitasi secara aktif.
Apa yang harus Anda lakukan sekarang
Coinkite memberikan dua pilihan lanjutan kepada pengguna yang terdampak.
Pilihan pertama adalah menerapkan passphrase BIP-39 yang kuat dan unik ke seed Anda yang ada. BIP-39 adalah standar yang memungkinkan Anda menambahkan kata atau frasa kustom di atas kata-kata seed yang sudah ada, pada dasarnya menciptakan dompet terpisah yang memerlukan baik seed maupun passphrase untuk diakses.
Pilihan kedua adalah memigrasi seluruhnya. Itu berarti membuat seed baru di perangkat Mk4, Q, atau Mk5, yang menggunakan RNG yang tidak terpengaruh oleh kelemahan ini, dan memindahkan dana Anda ke sana. Perusahaan menyarankan untuk melakukan transaksi uji coba sebelum memindahkan jumlah yang lebih besar.
Untuk pengguna yang ingin tetap menggunakan Mk3 dan melewati RNG-nya sama sekali, Coinkite telah memperkenalkan opsi generasi benih lemparan dadu lanjutan.
Terlepas dari jalur yang Anda pilih, Coinkite merekomendasikan untuk memverifikasi sidik jari XFP delapan digit pada perangkat Anda setiap kali Anda berinteraksi dengan dompet. XFP adalah pengidentifikasi singkat yang diturunkan dari kunci publik utama Anda. Disarankan juga untuk menyimpan cadangan lama hingga migrasi dikonfirmasi sepenuhnya.
Mengapa hal ini penting di luar satu model dompet
Transparansi Coinkite di sini patut diperhatikan. Peringatan tersebut terlihat, spesifik, dan dapat ditindaklanjuti. Perusahaan menyebutkan versi yang terdampak, merekomendasikan langkah perbaikan yang konkret, dan tetap mempertahankan peringatan di halaman unduhan aktifnya, bukan hanya memperbaiki secara diam-diam dan melanjutkan.