עדכון אבטחת ה-Seed של Coldcard: 65 לחיצות מקשים, זרעים ישנים אינם ניתנים לתיקון

| cryptoslate.com
Coinkite הוציאה קושחה מתוקנת (fixed) ל־Coldcard לאחר שנמצא exploit לדור seed ב־Coldcard. העדכון משנה את אופן יצירת ה־seed phrase החדש ב־Coldcard כך שהוא מחייב כמות משמעותית יותר של אנטרופיה פיזית. דרישה חדשה ל־Coldcard seed: המשתמשים חייבים להוסיף אקראיות נוספת—65 לחיצות מקשים (בזמנים לא צפויים), 50 הטלות קובייה, או 128 הטלות מטבע. זה מפחית את ההסתמכות על אקראיות פנימית שעלולה להיות פגומה. מגבלה קריטית: התקנת התיקון לא מתקנת seed של Coldcard שנוצר בטווחי הקושחה שנפגעו. אם יצרת seed עם קושחה פגיעה, עליך ליצור seed חדש ולהעביר את הכספים, משום ששיבוט/שחזור המילים משמר את אותה חולשה. יוצא מן הכלל מצומצם מוזכר רק אם המשתמש עקב אחר ה־workflow שנפגע ותיעד לפחות 50 הטלות קובייה פרטיות ועצמאיות, הוגנות (בלי לחשוף את הרצף). גרסאות מומלצות: Coldcard firmware 5.6.1 ל־Mk4/Mk5 ו־1.5.1Q ל־Coldcard Q. ההודעה גם מדגישה שעל המשתמשים לוודא את החתימה הדיגיטלית של הקושחה לפני התקנה, ולהריץ העברת בדיקה קטנה לפני מעבר להעברת יתרת הסכום המלאה. לפי הדיווחים האירוע הוביל להפסדים חמורים, כאשר רשויות אכיפת החוק חקרו, אך לא פורסם מספר מאומת של קורבנות או נתון כולל של ההפסדים.
Neutral
זהו תיקון אבטחה ברמת הארנק (wallet-level) ליצירת seed ב‑Coldcard, עם הנחיות פעולה ברורות למשתמש (עוד אנטרופיה פיזית, ומיגרציה כאשר ה‑seed נוצר על קושחה מושפעת). למרות שהוא עלול להשפיע זמנית על סנטימנט בקרב משתמשי self-custody, אין מדובר בשינוי פרוטוקול של ביטקוין, והוא לא משנה באופן ישיר את ההיצע, הקונצנזוס או תזרימי המזומנים של ביטקוין. לכן ההשפעה על המסחר לטווח קצר ב‑BTC צפויה להיות מוגבלת. עם זאת, כל פרשיות גניבה שמדובר בהן רבות וחקירות מתמשכות עלולות ליצור התנהגות מקומית של “הימנעות מסיכון” בקהילות שמחזיקות BTC באמצעות Coldcard, ובכך להגביר דרישה לפעולות “בטיחות” תפעוליות (העברת כספים, יצירת seed חדש) במקום לשנות את היסודות של BTC בטווח הארוך. בסך הכול, תגובת השוק צפויה להיות ניטרלית אלא אם פרטים חדשים ומאומתים יחשפו פגיעה מערכתית רחבה יותר או הערכות הפסד גדולות בהרבה.