Coldcard Mk3: sprawdź, czy twój seed jest bezpieczny

Firma Coinkite poinformowała, że seedy wygenerowane na sprzętowym portfelu Coldcard Mk3 przy użyciu oprogramowania w wersjach od 4.0.1 (wydanej w marcu 2021 r.) do 5.0.3 mogą być podatne na atak. Producent prowadzi dochodzenie i nie opublikował jeszcze pełnego, technicznego wyjaśnienia usterki.

Seed to zwykle 12 lub 24 słowa umożliwiające odtworzenie prywatnych kluczy i odzyskanie dostępu do Bitcoinów; osoba znająca seed może przejąć środki z portfela. Coldcard jest zaprojektowany do generowania i przechowywania kluczy offline, dlatego użytkownicy stosują go, by trzymać środki poza giełdami i aplikacjami programowymi.

Według wstępnej analizy ostrzeżenie nie dotyczy modeli Mk4, Mk5 ani Coldcard Q. Coinkite zaleca, by posiadacze Mk3 najpierw sprawdzili, czy ich fraza odzyskiwania została wygenerowana na tym konkretnym urządzeniu. Wpisanie frazy pochodzącej z innego, bezpiecznego źródła do Mk3 nie oznacza automatycznie, że jest ona zagrożona.

W podobnym czasie na łańcuchu bloków zarejestrowano przeniesienie około 594 BTC z setek adresów w ciągu kilkudziesięciu minut, co odpowiadało w przybliżeniu ponad 38 milionom dolarów. Coinkite informuje, że nie ma potwierdzenia, iż te transfery były bezpośrednio spowodowane problemem z Mk3.

Jeśli seed został utworzony na podatnej wersji Mk3, producent rekomenduje wygenerowanie nowej frazy na nowszym urządzeniu i przeniesienie środków dopiero po wysłaniu niewielkiej transakcji testowej oraz potwierdzeniu działania nowego portfela. Firma ostrzega przed pośpiesznym przenoszeniem środków, ponieważ błąd w adresie lub kopii zapasowej może spowodować utratę aktywów.

Coinkite przypomina, by nie wpisywać frazy odzyskiwania na komputerach ani telefonach i by śledzić oficjalne komunikaty firmy w miarę pojawiania się nowych informacji. W razie wątpliwości producent sugeruje skonsultowanie się ze specjalistą ds. bezpieczeństwa kryptowalut przed podjęciem działań.