Coldcard rafforza la generazione dei seed con un aggiornamento del firmware

Coinkite ha rilasciato un nuovo aggiornamento della sicurezza per rafforzare la generazione delle frasi seed, richiedendo l’entropia fornita dall’utente combinata con una casualità migliorata del dispositivo.

Coinkite ha annunciato il firmware 5.6.1 per i dispositivi Coldcard Mk4 e Mk5 e la versione 1.5.1Q per Coldcard Q in un post sul blog pubblicato giovedì.

Il rilascio richiede che i seed generati ex novo includano l’entropia fornita dall’utente attraverso almeno 65 pressioni dei tasti con tempistiche imprevedibili, 50 lanci di un dado a sei facce o 128 lanci di una moneta. Questo input viene combinato con la casualità proveniente da molteplici fonti del dispositivo, inclusi i suoi elementi sicuri e il generatore hardware di numeri casuali (RNG).

La casualità combinata viene utilizzata per creare la frase seed del wallet e dovrebbe mantenere imprevedibili le sue chiavi private anche nel caso in cui una delle fonti di entropia del dispositivo dovesse guastarsi.

Coinkite ha invitato gli utenti ad aggiornare immediatamente, sottolineando che le frasi seed esistenti rimangono vulnerabili anche dopo l’aggiornamento e devono essere sostituite con nuovi seed prima di trasferire i fondi. 

Le perdite confermate derivanti dall’exploit di Coldcard hanno raggiunto 1.778 Bitcoin (BTC), per un valore di circa 112 milioni di dollari, secondo un rapporto di Galaxy Research del 14 agosto. Questo rende l’hack di Coldcard il terzo più grande exploit nel settore delle criptovalute del 2026, secondo i dati raccolti da DefiLlama.

Coldcard aggiunge misure di sicurezza per le transazioni e l’USB

L’aggiornamento del firmware del 31 luglio dell’azienda aveva già corretto il problema nella generazione dei seed per i wallet appena creati. Il rilascio di giovedì segue tre settimane di revisione della sicurezza più ampia e aggiunge inoltre misure di sicurezza per la gestione dei dati USB, la firma delle transazioni e la casualità hardware.

Coinkite ha affermato che l’aggiornamento risolve un attacco teorico che coinvolge una porta USB compromessa del computer, verificando nuovamente le transazioni immediatamente prima della firma. Il firmware introduce anche ulteriori controlli sul RNG hardware e un test all’avvio progettato per verificare che il wallet utilizzi il percorso hardware previsto.

Correlato: Un’azienda di cybersicurezza svela una campagna di phishing crypto rivolta a 885.000 numeri di telefono

Altre modifiche limitano i download USB all’output più recente del dispositivo e richiedono una sessione crittografata, mentre alcune modalità di hash delle firme Bitcoin che consentono di lasciare modificabili gli output delle transazioni sono ora bloccate per impostazione predefinita.

Coinspect lancia uno strumento per rilevare i seed deboli

Anche altre aziende stanno lanciando software per identificare i wallet potenzialmente esposti a causa della generazione di seed deboli.

La società di sicurezza blockchain Coinspect ha presentato Unlukey, uno strumento pubblico gratuito per identificare gli indirizzi dei wallet generati da frasi seed deboli. La prima versione dello strumento mira a riprodurre la generazione nota di seed deboli e a verificare se gli indirizzi pubblici appartengano al dataset interessato, ha dichiarato Coinspect in un post.

La generazione di frasi seed deboli è stata una delle principali vulnerabilità che hanno portato all’exploit di Coldcard. TRM Labs ha dichiarato che un bug del firmware risalente a marzo 2021 ha indebolito la casualità dei seed su alcuni wallet Coldcard, riducendo la robustezza delle chiavi da 128 bit a 40 bit e rendendole “attaccabili con forza bruta senza accesso fisico”. 

Rivista: Dentro la ‘finta irruzione della polizia’ che ha costretto a trasferire 1 milione di dollari in Bitcoin