Se você tem um Coldcard Mk3 guardado em uma gaveta, esta é a semana para retirá-lo. A Coinkite emitiu um aviso de segurança alertando que sementes geradas em dispositivos Mk3 com versões de firmware 4.0.1 a 5.0.3 podem estar comprometidas, apontando para uma possível falha no gerador de números aleatórios do dispositivo.
O aviso é exibido de forma proeminente na página de downloads do firmware da Coinkite, o que indica que esta não é uma divulgação silenciosa enterrada em um registro de alterações.
O que a falha realmente significa
Ao configurar uma carteira de hardware, o dispositivo gera uma seed, uma sequência de palavras que é a chave mestre de tudo na sua carteira. Essa seed deve ser aleatória, verdadeiramente aleatória, para que ninguém consiga adivinhar ou recriá-la. Se o RNG tiver uma falha, as seeds que ele produz pode não ser tão aleatórias quanto parecem e potencialmente reproduzíveis por alguém que conheça a falha.
A faixa de firmware afetada abrange da versão 4.0.1, lançada em março de 2021, até a versão 5.0.3. Qualquer dispositivo Mk3 que tenha gerado uma seed enquanto executava qualquer uma dessas versões pode estar afetado. A análise inicial da Coinkite confirma que os modelos Mk4, Q e Mk5 não são afetados por este problema.
A Coinkite não divulgou se a falha foi ativamente explorada.
O que você deve fazer agora
A Coinkite está oferecendo aos usuários afetados dois caminhos a seguir.
A primeira opção é aplicar uma frase BIP-39 forte e única à sua semente existente. O BIP-39 é um padrão que permite adicionar uma palavra ou frase personalizada à sua semente existente, criando essencialmente uma carteira separada que exige tanto a semente quanto a frase de acesso.
A segunda opção é migrar completamente. Isso significa gerar uma nova seed em um dispositivo Mk4, Q ou Mk5, que utiliza um RNG não afetado por essa falha, e transferir seus fundos para lá. A empresa sugere realizar transações de teste antes de mover quantias maiores.
Para usuários que desejam permanecer no Mk3 e contornar completamente seu RNG, a Coinkite introduziu uma opção avançada de geração de semente para rolagem de dados.
Independentemente do caminho que você escolher, a Coinkite recomenda verificar a impressão digital de oito dígitos XFP do seu dispositivo sempre que interagir com uma carteira. O XFP é um identificador curto derivado da sua chave pública mestra. Também é aconselhável manter backups antigos até que a migração seja totalmente confirmada.
Por que isso importa além de um modelo de carteira
A transparência da Coinkite aqui merece destaque. O aviso é visível, específico e aplicável. A empresa está identificando as versões afetadas, recomendando passos concretos de correção e mantendo o aviso em sua página de downloads ativa, em vez de simplesmente corrigir silenciosamente e seguir em frente.