Если у вас лежит Coldcard Mk3 в ящике, именно эта неделя — время его достать. Coinkite выпустила предупреждение о безопасности, в котором говорится, что семена, сгенерированные на устройствах Mk3 с прошивками версий 4.0.1 через 5.0.3, могут быть скомпрометированы, что указывает на возможный дефект в генераторе случайных чисел устройства.
Совет ярко отображен на странице загрузок прошивки Coinkite, что свидетельствует о том, что это не скрытое уведомление, затерянное в списке изменений.
Что на самом деле означает этот недостаток
При настройке аппаратного кошелька устройство генерирует семя — строку слов, являющуюся главным ключом ко всему, что находится в вашем кошельке. Это семя должно быть случайным, действительно случайным, чтобы никто не мог угадать или воссоздать его. Если ГСЧ содержит недостаток, сгенерированные им семена могут быть менее случайными, чем кажутся, и потенциально воспроизводимыми человеком, знающим об этом недостатке.
Затронутый диапазон прошивок охватывает версию 4.0.1, выпущенную в марте 2021 года, до версии 5.0.3. Любое устройство Mk3, сгенерировавшее семя при работе на одной из этих версий, может быть затронуто. Первоначальный анализ Coinkite подтверждает, что модели Mk4, Q и Mk5 не затронуты этой проблемой.
Coinkite не раскрывала, использовался ли этот недостаток в активной эксплуатации.
Что вам следует сделать прямо сейчас
Coinkite предлагает затронутым пользователям два варианта дальнейших действий.
Первый вариант — применение надежного уникального BIP-39 пароля к вашей существующей семенной фразе. BIP-39 — это стандарт, позволяющий добавить пользовательское слово или фразу к вашим существующим семенным словам, создавая таким образом отдельный кошелек, доступ к которому требует как семенную фразу, так и пароль.
Второй вариант — полный переход. Это означает создание нового seed-ключа на устройстве Mk4, Q или Mk5, которое использует ГСЧ, не затронутый этим недостатком, и перевод ваших средств на него. Компания рекомендует провести тестовые транзакции перед перемещением более крупных сумм.
Для пользователей, которые хотят остаться на Mk3 и полностью обойти его ГСЧ, Coinkite представила расширенную опцию генерации семени для броска костей.
Независимо от выбранного вами пути, Coinkite рекомендует проверять восьмизначный XFP-отпечаток на вашем устройстве каждый раз при взаимодействии с кошельком. XFP — это короткий идентификатор, полученный из вашего мастер-публичного ключа. Также рекомендуется сохранять старые резервные копии до полного подтверждения миграции.
Почему это важно за пределами одной модели кошелька
Прозрачность Coinkite в этом вопросе заслуживает внимания. Рекомендация видна, конкретна и применима. Компания указывает затронутые версии, рекомендует конкретные меры по устранению проблемы и сохраняет предупреждение на своей активной странице загрузок, а не просто исправляет проблему и забывает о ней.