Bitcoin Magazine
RISCHIO DI SICUREZZA COLDCARD: AZIONE IMMEDIATA RICHIESTA
Prima di tutto, sì, è un titolo molto clickbait e completamente insolito. Questo è un vero problema di sicurezza. Ecco l'annuncio ufficiale da parte di Coinkite stesso pubblicato ieri, ti prego di leggere e verificare la genuinità del problema lì.
TLDR: Coldcard MK3, MK4, MK5 e Q stanno venendo svuotati. Un bug consente agli attaccanti di trovare la tua frase seed senza alcuna azione da parte tua. Solo i portafogli generati utilizzando il metodo del lancio dei dadi sono sicuri, assumendo che tu abbia lanciato almeno 50 dadi. Se non lo sai, non ricordi o non sei sicuro, sposta immediatamente i tuoi fondi.
Questo è un problema critico che richiede azione immediata. Se hai utilizzato un Coldcard per generare un seed di parole e NON hai utilizzato i raccomandati 50+ lanci di dadi per fornire la tua entropia dopo la fine del 2020, il tuo seed di parole non è sicuro. È stato generato senza una quantità sufficiente di casualità e può essere forzato da un attaccante malintenzionato. I portafogli stanno attivamente venendo svuotati ora. Questo problema influisce anche su qualsiasi chiave effimera e chiave di sessione per le funzionalità Clone Coldcard o Key Teleport, e i seed BIP 85 generati da un seed compromesso. DEVI ANCORA SPOSTARE I TUOI FONDI.
Questo attacco è attivamente sfruttato, con circa 1000 BTC che si muovono on-chain collegati alla vulnerabilità.
Respira e rilassati. Devi spostare i tuoi fondi su un nuovo seed di parole, o un seed di parole generato da un dispositivo diverso, per garantire la sicurezza dei tuoi fondi.
– Se hai un altro wallet hardware che non è un Coldcard, invia i tuoi fondi lì. Questo è il modo più veloce e semplice per metterli in un luogo sicuro.
– Se non hai un altro wallet hardware e hai solo un Coldcard, genera una passphrase utilizzando ALMENO sei parole seed dalla lista di parole BIP 39. Usa questa guida per selezionare le tue parole per la passphrase,NON sceglierle tu stesso. Controlla l'impronta del tuo wallet (o un indirizzo), spegni il tuo dispositivo, riavvialo e reinserisci la passphrase. Conferma che l'impronta (o l'indirizzo) corrisponda e invia i tuoi fondi al wallet della passphrase.Questa non è una soluzione permanente. Questo ti offre semplicemente abbastanza sicurezza affinché un attaccante non possa forzare le tue chiavi in pochi giorni, e puoi generare un nuovo seed senza essere in uno stato di panico.Assicurati che la tua passphrase sia annotata in modo sicuro.
– Se non hai altre opzioni, o ti senti a disagio nell'usare il dispositivo, il portafoglio Nunchuck è disponibile su mobile e desktop. Prenditi il tuo tempo, non avere fretta e assicurati che tutti i tuoi backup siano stati eseguiti correttamente. Dopo aver verificato i backup, invia i tuoi fondi a questo portafoglio. Se stai gestendo somme significative, Nunchuck supporta il multisig. Puoi crearne uno utilizzando più dispositivi. Blockstream Green e Bluewallet sono altre due opzioni per portafogli software.
Una volta che i tuoi fondi sono al sicuro, prenditi un minuto e rilassati. I Coldcard sono ancora sicuri da usare finché il seed di parole è generato in modo sicuro. È stata rilasciata una patch del firmware qui. Qualsiasi seed di parole generato dopo questo aggiornamento del firmware dovrebbe essere sicuro (e puoi usare anche l'opzione del lancio dei dadi). Se hai trasferito i tuoi fondi a un portafoglio hot, o qualcosa di meno sicuro, il tuo Coldcard è sicuro da usare dopo aver applicato l'aggiornamento del firmware e generato un nuovo seed.
Una volta che hai messo al sicuro i tuoi fondi, fermati e fai il punto della situazione. Contatta proattivamente chiunque tu conosca che potrebbe utilizzare un Coldcard che era vulnerabile quando ha generato il suo seed. Informali del problema e, se necessario (e sei in grado), aiutali a migrare i loro fondi. Non tutti prestano attenzione alle notizie su Bitcoin regolarmente, quindi molte persone potrebbero non essere nemmeno a conoscenza di essere vulnerabili.
Questo post COLDCARD SECURITY RISK: IMMEDIATE ACTION REQUIRED è apparso per la prima volta su Bitcoin Magazine ed è scritto da Shinobi.
Fonte: BitcoinMagazine
