Coldcard-Seed-Sicherheitsupdate: 65 Tastenanschläge, alte Seeds nicht reparierbar

Coinkite hat eine korrigierte (fixed) Coldcard-Firmware veröffentlicht, nachdem es einen Exploit gab, der die Seed-Generierung bei Coldcard betraf. Das Update ändert, wie eine neue Coldcard-Seed-Phrase erzeugt wird, indem deutlich mehr physikalische Entropie erzwungen wird. Neue Anforderung für einen Coldcard-Seed: Nutzer müssen zusätzliche Zufälligkeit hinzufügen—entweder 65 Tastendrücke (zu unvorhersehbaren Zeitpunkten), 50 Würfelwürfe oder 128 Münzwürfe. Dadurch wird die Abhängigkeit von potenziell fehlerhafter interner Zufallsfunktion reduziert. Kritische Einschränkung: Durch das Installieren des Fixes wird ein Coldcard-Seed, der in betroffenen Firmware-Bereichen erstellt wurde, nicht repariert. Wenn du einen Coldcard-Seed mit verwundbarer Firmware erzeugt hast, solltest du einen neuen Seed erstellen und die Gelder migrieren, weil das Klonen/Wiederherstellen der Wörter die gleiche Schwäche beibehält. Eine schmale Ausnahme wird nur dann erwähnt, wenn der Nutzer den betroffenen Ablauf befolgt und mindestens 50 private, unabhängige „faire“ Würfelwürfe aufgezeichnet hat (ohne die Sequenz offenzulegen). Empfohlene Versionen: Coldcard-Firmware 5.6.1 für Mk4/Mk5 und 1.5.1Q für Coldcard Q. In der Mitteilung wird außerdem betont, dass Nutzer die digitale Signatur der Firmware vor der Installation prüfen und vor einer vollständigen Übertragung einen kleinen Testtransfer durchführen sollen. Der Vorfall habe Berichten zufolge zu schweren Verlusten geführt; die Strafverfolgungsbehörden ermitteln, aber es wurden weder eine verifizierte Opferanzahl noch eine Gesamtverlustsumme veröffentlicht.