کولڈکارڈ، بٹ کوائن ہارڈویئر والٹس میں سب سے زیادہ قابل اعتماد ناموں میں سے ایک، نے اپنے ڈیوائسز کے طریقہ کار میں والٹ سیڈز کے پیدا کرنے کے طریقے میں ایک اہم خرابی کو درست کرنے کے لیے فارم ویئر اپ ڈیٹ جاری کیے ہیں۔ مگر یہ بات: آپ کا فارم ویئر اپ ڈیٹ کرنا اصل میں مسئلہ حل نہیں کرتا۔ آپ کو اب بھی اپنا بٹ کوائن مکمل طور پر نئے والٹ میں منتقل کرنا ہوگا۔
ایک کمزوری، جو مارچ 2021 میں جاری کیے گئے فرمویئر ورژن 4.0.1 سے موجود تھی، کی وجہ سے سیڈز کم اینٹروپی کے ساتھ جنریٹ ہو رہے تھے۔ انگلش میں: وہ رینڈم نمبر جنریشن پروسیس جو آپ کے والٹ کے ماسٹر کلید کو تقریباً انسولیب بنانے کے لیے ہونا چاہیے تھا، واقعی کسی کو بھی تصور نہیں تھا کہ اتنی آسانی سے اندازہ لگایا جا سکتا ہے۔
کیا غلط ہوا اور کیا خطرے میں ہے
یہ خرابی کولڈکارڈ کے فارم ویئر میں خراب RNG (تصادفی نمبر جنریٹر) عملوں سے نکلی جس نے پیش گوئی کے قابل خفیہ عبارتیں پیدا کیں۔ ایک ایسے ڈیوائس کے لیے جس کا پورا اقدار کا دعویٰ "آپ کے کلیدیں، آپ کا بٹ کوائن، کسی اور کا نہیں" ہے، یہ اتنی بھاری بات نہیں ہو سکتی۔
متاثرہ ڈیوائسز میں Mk3، Mk4، Mk5، اور Q ماڈلز شامل ہیں جو مارچ 2021 کے بعد اور 31 جولائی 2026 کے پیچ سے پہلے جاری فارم ویئر ورژنز چل رہے ہیں۔ یہ کولڈکارڈ کی مکمل پروڈکٹ لائن میں پانچ سال سے زائد ممکنہ طور پر متاثرہ سیڈ جنریشن کا دور ہے۔
نتائج نظری نہیں ہوئے ہیں۔ بٹ کوائن کی چوریوں میں سے سینکڑوں ملین امریکی ڈالر کو اس کمزوری سے جوڑا گیا ہے۔
31 جولائی، 2026 کو جاری کیے گئے فکسڈ فارم ویئر ورژن میں Mk4 اور Mk5 ڈیوائسز کے لیے v5.6.0، Q سٹینڈرڈ ماڈل کے لیے v1.5.0Q، اور پرانے Mk3 کے لیے v4.2.0 شامل ہیں۔ یہ سب Coldcard کے GitHub ریپوزٹری github.com/Coldcard/firmware پر میزبانی کی جاتی ہیں، جس میں مکمل سورس کوڈ، سیکورٹی ایڈوائزریز، اور چینج لاگز شامل ہیں۔
فیمر ویئر اپ ڈیٹ کرنا ضروری ہے لیکن کافی نہیں
یہ بات ہے کہ کولڈکارڈ نے صاف طور پر کہا ہے کہ نئی فارم ویئر کو صرف فلیش کرنا پہلے سے جاری نقصاندار طریقے سے تخلیق کیے گئے سیڈز کے بنیادی مسئلے کو حل نہیں کرتا۔ وہ سیڈز خراب رہتے ہیں، چاہے آپ کون سی فارم ویئر چلا رہے ہوں۔
درکار عمل ایک مکمل والٹ میگریشن ہے۔ صارفین کو پچ کردہ فارم ویئر پر مکمل طور پر نئے سیڈز تخلیق کرنے ہوں گے اور اپنا تمام بٹ کوائن ان نئے سیڈز سے حاصل ہونے والے والٹس میں ٹرانسفر کرنا ہوگا۔
جس صارفین کو منتقلی کے دوران اضافی تحفظ چاہیے، کولڈکارڈ دو خطرات کو کم کرنے کی تجاویز سفارش کرتا ہے۔ پہلا اس بات کا استعمال ہے کہ بیج جنریشن میں اصل فزیکل رینڈومنس داخل کرنے کے لیے کم از کم 50 الگ الگ ڈائس رولز کریں۔ دوسرا، مضبوط BIP-39 پاس فریز کا استعمال جو بیج کے اپنے اوپر اضافی اینٹروپی کا ایک لیئر کام کرتا ہے۔
دونوں طریقے کام کرتے ہیں کیونکہ وہ بے ترتیبی پیدا کرتے ہیں جو ڈیوائس کے ممکنہ خراب اندر کے RNG پر منحصر نہیں ہوتی۔
خود کے قبضے کا تنازع
کولڈکارڈ نے بٹ کوائن صرف خود کی مالکیت کے لیے سونے کی معیار کی عمارت کی ہے۔ کمپنی آلٹ کوائنز کی حمایت نہیں کرتی، ڈیفی اندراجات کا تعاقب نہیں کرتی، اور اپنے آپ کو جدی بٹ کوائنر کے لیے جدی ہارڈ ویئر والٹ کے طور پر متعین کر چکی ہے۔
یہ کمزوری اوپن سورس سیکیورٹی ماڈل میں ایک تنازع بھی ظاہر کرتی ہے۔ کولڈکارڈ کا فارم ویئر اوپن سورس ہے، اور اس کا گٹھبب ریپوزٹری جانچ کے لیے عوامی طور پر دستیاب ہے۔ تاہم، یہ اینٹروپی کی خامی ظاہر ہوتی ہے کہ اسے پانچ سال سے زیادہ عرصہ تک نہ تو پایا گیا اور نہ ہی اسے درست کیا گیا۔