أصدرت كولدكارد (Coldcard) تحديثًا جديدًا للبرنامج الثابت لتعزيز أمان محافظ الأجهزة الخاصة بها. أوضحت الشركة أن بعض عبارات الاسترداد التي تم إنشاؤها في إصدارات البرامج السابقة قد تشكل خطرًا أمنيًا محتملاً، ونصحت المستخدمين المتأثرين بإنشاء عبارة استرداد جديدة ونقل أصولهم إلى المحفظة الجديدة.
كما تعلمون، أدت ثغرة أمنية في محفظة كولدكارد مؤخرًا إلى سرقة أكثر من 70 مليون دولار من عملات البيتكوين من محافظ المستخدمين.
أصدرت كولدكارد الإصدار 5.6.1 لطرازي Mk4 وMk5، والإصدار 1.5.1Q للطراز Q. ويأتي هذا التحديث نتيجة لمراجعة أمنية شاملة استمرت حوالي ثلاثة أسابيع، وذلك بعد التصحيح الأمني الطارئ الذي صدر في 31 يوليو.
كيف يعمل التحديث الجديد؟
مع البرنامج الثابت الجديد، يجب أن تتضمن كل عبارة استرداد جديدة يتم إنشاؤها على أجهزة كولدكارد على الأقل مصدرًا واحدًا من العشوائية الفيزيائية التي يوفرها المستخدم.
سيتمكن المستخدمون من القيام بذلك باستخدام أحد الخيارات التالية:
- 65 ضغطة مفتاح غير منتظمة على الأقل
- 50 رمية نرد فيزيائية
- 128 رمية عملة معدنية فيزيائية
سيتم دمج هذه العشوائية التي يولدها المستخدم مع عشوائية جديدة مشتقة من أجهزة التوليد العشوائي STM32 TRNG وعناصر الأمان الآمنة SE1 وSE2 في الجهاز. صرحت كولدكارد أن هذا التغيير يهدف إلى جعل عملية توليد عبارات الاسترداد أكثر مقاومة للهجمات المحتملة.
تحسينات إضافية في التحديث
لا يقدم هذا التحديث تغييرًا في طريقة توليد عبارات الاسترداد فحسب، بل يتضمن أيضًا:
- تمكين التحقق الفوري والمتزايد من معاملات PSBT قبل عملية التوقيع
- تعزيز إجراءات الأمان لاتصالات USB وعمليات تحديث البرنامج الثابت
- تحسين آلية العزل في وضع دلتا (Delta Mode)
- معالجة عدة مشكلات تتعلق بنسخ احتياطي للمحافظ النشطة
- تطبيق مولّدات أرقام عشوائية أكثر قوة وتشديد فحوصات الأخطاء
- تحسينات متنوعة في الأمان والدقة مع تغييرات في إعدادات SIGHASH الافتراضية
تحذير مهم لأصحاب المحافظ الحالية
التحذير الأهم في إعلان كولدكارد يتعلق بعبارات الاسترداد الحالية. شددت الشركة على أن تثبيت البرنامج الثابت الجديد لا يزيل المشكلة الأمنية المحتملة في عبارات الاسترداد التي تم إنشاؤها باستخدام إصدارات البرامج المتأثرة سابقًا.
يجب على المستخدمين المتأثرين بالتنبيه الأمني أولاً تحديث أجهزتهم إلى الإصدار الجديد من البرنامج الثابت، ثم إنشاء والتحقق من عبارة استرداد جديدة تمامًا، ونقل أصول البيتكوين الحالية إلى المحفظة المنشأة حديثًا.
كما نصحت كولدكارد بشدة جميع مستخدمي Mk4 وMk5 وQ بتحديث أجهزتهم في أقرب وقت ممكن والتحقق من التوقيع الرقمي لملف البرنامج الثابت الذي تم تنزيله.
الأسئلة الشائعة
س1: هل يجب عليّ إنشاء عبارة استرداد جديدة بعد تحديث كولدكارد؟
إذا كنت قد أنشأت عبارة الاسترداد الخاصة بك باستخدام إصدار برامج سابق متأثر بالمشكلة الأمنية، فيجب عليك تحديث جهازك أولاً، ثم إنشاء عبارة استرداد جديدة تمامًا ونقل أموالك إليها لضمان أمان أصولك.
س2: كيف أضيف العشوائية الفيزيائية عند إنشاء عبارة الاسترداد؟
يمكنك استخدام أي من الطرق التالية: الضغط على المفاتيح بشكل غير منتظم (65 مرة على الأقل)، أو رمي النرد (50 رمية)، أو رمي العملات المعدنية (128 رمية). سيتم دمج هذه العشوائية مع العشوائية الداخلية للجهاز لتوليد عبارة استرداد أكثر أمانًا.
س3: هل هذا التحديث إلزامي لجميع مستخدمي كولدكارد؟
نعم، تنصح كولدكارد بشدة جميع مستخدمي أجهزة Mk4 وMk5 وQ بتحديث أجهزتهم في أقرب وقت ممكن للمساعدة في حماية أصولهم من المخاطر الأمنية المحتملة، خاصة أولئك الذين لديهم محافظ بعبارات استرداد قديمة.
