Coldcard ha lanzado una nueva actualización de firmware para mejorar la seguridad de sus monederos de hardware. La compañía indicó que algunas frases de recuperación creadas en versiones anteriores del software podrían representar un riesgo potencial para la seguridad y recomendó a los usuarios afectados crear una nueva frase de recuperación y transferir sus activos al nuevo monedero.
Como ya sabéis, una vulnerabilidad de seguridad en la cartera de hardware Coldcard provocó recientemente el robo de más de 70 millones de dólares en Bitcoin de las carteras de los usuarios.
Coldcard ha lanzado la versión 5.6.1 para los modelos Mk4 y Mk5, y la 1.5.1Q para el modelo Q. Esta actualización es el resultado de una exhaustiva revisión de seguridad que duró aproximadamente tres semanas, tras el parche de seguridad de emergencia publicado el 31 de julio.
Con el nuevo firmware, cada nueva cadena de recuperación creada en los dispositivos Coldcard debe incluir al menos una fuente de entropía física proporcionada por el usuario.
Los usuarios podrán hacerlo utilizando una de las siguientes opciones: al menos 65 pulsaciones de teclas irregulares, 50 lanzamientos de dados físicos o 128 lanzamientos de moneda físicos.
Esta aleatoriedad generada por el usuario se combinará con la nueva entropía derivada del hardware TRNG STM32 del dispositivo y los elementos de seguridad SE1 y SE2. Coldcard afirmó que este cambio tiene como objetivo hacer que el proceso de generación de la cadena de recuperación sea más resistente a posibles ataques.
La actualización no solo cambia la forma en que se generan las declaraciones de recuperación. La nueva versión también permite la verificación incremental y en tiempo real de PSBT antes del proceso de firma.
Además, se han reforzado las medidas de seguridad para las conexiones USB y los procesos de actualización del firmware, y se ha mejorado el mecanismo de aislamiento del modo Delta.
La actualización soluciona varios problemas relacionados con la copia de seguridad de monederos activos, a la vez que implementa generadores de números aleatorios más robustos y hace que las comprobaciones de errores sean más rigurosas. La actualización incluye diversas mejoras de seguridad y precisión, junto con cambios en la configuración predeterminada de SIGHASH.
La salvedad más importante en el anuncio de Coldcard se refiere a las declaraciones de recuperación actuales.
La compañía hizo hincapié específicamente en que la instalación del nuevo firmware no elimina un posible problema de seguridad en las cadenas de recuperación creadas utilizando versiones de software previamente afectadas.
Los usuarios afectados por la alerta de seguridad deben actualizar primero sus dispositivos a la nueva versión de firmware, luego crear y verificar una cadena de recuperación completamente nueva y transferir sus activos de Bitcoin existentes a la billetera recién creada.
Coldcard también recomendó encarecidamente a todos los usuarios de Mk4, Mk5 y Q que actualicen sus dispositivos lo antes posible y verifiquen la firma digital del archivo de firmware descargado.
*Esto no constituye asesoramiento de inversión.
