تحديث أمان البذرة في Coldcard: 65 ضغطة مفتاح، والبذور القديمة غير قابلة للإصلاح

| cryptoslate.com
أصدرت Coinkite تحديثًا ثابتًا لبرنامج Coldcard الثابت (firmware) بعد استغلال (exploit) يتعلق بعملية توليد بذور Coldcard. يغيّر التحديث طريقة إنشاء عبارة بذور Coldcard الجديدة عبر فرض كمية أكبر بكثير من “الإنتروبيا” (entropy) الفيزيائية. متطلب جديد لبذرة Coldcard: يجب على المستخدمين إضافة عشوائية إضافية—إما 65 ضغطة مفتاح (في أوقات غير متوقعة)، أو 50 رمية نرد، أو 128 رمية عملة. يحد هذا من الاعتماد على العشوائية الداخلية المحتملة التي قد تكون معيبة. قيد حاسم: تثبيت الإصلاح لا يصلح بذرة Coldcard التي تم إنشاؤها ضمن نطاقات إصدارات firmware المتأثرة. إذا ولّدت بذرة Coldcard باستخدام firmware قابل للاستغلال، فيجب عليك إنشاء بذرة جديدة وترحيل الأموال، لأن استنساخ/استعادة الكلمات يحافظ على نفس الضعف. ويُذكر استثناء ضيق فقط إذا اتبع المستخدم سير العمل المتأثر وسجّل ما لا يقل عن 50 رمية نرد خاصة ومستقلة وعادلة (دون كشف تسلسل النتائج). تُوصى بإصدارات مثل Coldcard firmware 5.6.1 لـ Mk4/Mk5 و1.5.1Q لـ Coldcard Q. كما يشير التنبيه إلى ضرورة التحقق من التوقيع الرقمي للبرنامج الثابت قبل تثبيته، وإجراء تحويل تجريبي صغير قبل نقل كامل الرصيد. ووفقًا للتقارير، أدى الحادث إلى خسائر شديدة، مع وجود تحقيق من جهات إنفاذ القانون، لكن لم يُنشر عدد ضحايا مُتحقق منه أو إجمالي مبلغ الخسائر.
Neutral
هذا إصلاح أمني على مستوى المحفظة لتوليد بذور (seeds) Coldcard، مع إرشادات واضحة للمستخدم (إضافة قدر أكبر من الإنتروبيا الجسدية، والهجرة/الترحيل عندما تم إنشاء الـ seed على Firmware متأثر). ورغم أنه قد يؤثر مؤقتًا على المشاعر لدى مستخدمي الحفظ الذاتي، إلا أنه ليس تغييرًا على مستوى بروتوكول بيتكوين ولا يغيّر بشكل مباشر المعروض أو الإجماع أو التدفقات النقدية الخاصة ببيتكوين. لذلك فمن المرجح أن يكون تأثيره قصير المدى على تداول BTC محدودًا. ومع ذلك، فإن أي عمليات سرقة يتم تداولها على نطاق واسع وأي تحقيقات جارية يمكن أن تخلق سلوكًا محليًا لتجنب المخاطر (“risk-off”) في مجتمعات تحتفظ بـ BTC عبر Coldcard، مما قد يزيد الطلب على إجراءات تشغيلية “للأمان” مثل ترحيل الأموال وإنشاء seed جديد، بدلًا من تغيير أساسيات BTC طويلة المدى. بشكل عام، يجب أن تكون ردّة فعل السوق محايدة ما لم تكشف تفاصيل جديدة مؤكدة عن تأثير أوسع على مستوى الأنظمة أو تقديرات خسائر أكبر بكثير.