Coldcardは、ハードウェアウォレットのセキュリティを強化するための新しいファームウェアアップデートをリリースしました。同社は、以前のソフトウェアバージョンで作成された一部のリカバリーフレーズが潜在的なセキュリティリスクとなる可能性があると述べ、影響を受けるユーザーに対し、新しいリカバリーフレーズを作成し、資産を新しいウォレットに移行するよう勧告しました。
ご存じのとおり、最近、Coldcardハードウェアウォレットのセキュリティ脆弱性により、ユーザーのウォレットから7000万ドル相当以上のビットコインが盗まれるという事件が発生しました。
Coldcardは、Mk4およびMk5モデル向けにバージョン5.6.1、Qモデル向けにバージョン1.5.1Qをリリースしました。このアップデートは、7月31日にリリースされた緊急セキュリティパッチに続き、約3週間にわたる包括的なセキュリティレビューの結果です。
新しいファームウェアでは、Coldcardデバイスで作成されるすべての新しいリカバリ文字列に、ユーザーが提供する物理的エントロピーのソースを少なくとも1つ含める必要があります。
ユーザーは、以下のいずれかの方法でこれを行うことができます。少なくとも65回の不規則なキーストローク、50回の物理的なサイコロの振り、または128回の物理的なコイン投げ。
ユーザーが生成したこの乱数は、デバイスのSTM32 TRNGハードウェアとSE1およびSE2セキュアエレメントから得られる新しいエントロピーと組み合わされます。Coldcard社は、この変更により、リカバリ文字列生成プロセスが潜在的な攻撃に対してより耐性を持つようになることを目的としていると述べています。
今回のアップデートでは、回復明細書の生成方法が変更されるだけでなく、署名処理の前にリアルタイムかつ増分的なPSBT検証も可能になります。
さらに、USB接続およびファームウェアアップデートプロセスにおけるセキュリティ対策が強化され、デルタモードの分離メカニズムが改善されました。
今回のアップデートでは、アクティブなウォレットのバックアップに関するいくつかの問題に対処するとともに、より堅牢な乱数生成器を実装し、エラーチェックをより厳格化しています。また、セキュリティと精度に関する様々な改善に加え、SIGHASHのデフォルト設定の変更も含まれています。
Coldcardの発表における最も重要な注意点は、現在の回復状況に関する記述である。
同社は、新しいファームウェアをインストールしても、以前に影響を受けたソフトウェアバージョンを使用して作成された復旧文字列における潜在的なセキュリティ上の問題が解消されるわけではないことを特に強調した。
セキュリティ警告の影響を受けるユーザーは、まずデバイスを新しいファームウェアバージョンにアップデートし、次にまったく新しいリカバリ文字列を作成して検証し、既存のビットコイン資産を新しく作成したウォレットに転送する必要があります。
Coldcard社はまた、Mk4、Mk5、およびQの全ユーザーに対し、できるだけ早くデバイスをアップデートし、ダウンロードしたファームウェアファイルのデジタル署名を確認するよう強く推奨した。
※これは投資アドバイスではありません。
