Coldcard ha lanzado una nueva actualización de firmware para mejorar la seguridad de sus billeteras hardware. La empresa indicó que algunas frases de recuperación creadas con versiones anteriores del software pueden suponer un posible riesgo de seguridad y aconsejó a los usuarios afectados que creen una nueva frase de recuperación y transfieran sus activos a la nueva billetera.
Como se sabe, una vulnerabilidad de seguridad en la billetera hardware Coldcard resultó recientemente en el robo de más de 70 millones de dólares en Bitcoin de las billeteras de los usuarios.
Coldcard ha publicado la versión 5.6.1 para los modelos Mk4 y Mk5, y 1.5.1Q para el modelo Q. La actualización es el resultado de una revisión integral de seguridad que duró aproximadamente tres semanas, realizada tras el parche de seguridad de emergencia lanzado el 31 de julio.
Con el nuevo firmware, toda nueva frase de recuperación creada en los dispositivos Coldcard ahora debe incluir al menos una fuente de entropía física proporcionada por el usuario.
Los usuarios podrán hacerlo utilizando una de las siguientes opciones: al menos 65 pulsaciones de teclas irregulares, 50 lanzamientos de dados físicos o 128 lanzamientos de monedas físicas.
Esta aleatoriedad generada por el usuario se combinará con nueva entropía derivada del hardware STM32 TRNG del dispositivo y de los elementos seguros SE1 y SE2. Coldcard afirmó que este cambio tiene como objetivo que el proceso de generación de la frase de recuperación sea más resiliente ante posibles ataques.
La actualización no solo modifica la forma en que se generan las frases de recuperación. La nueva versión también habilita la verificación PSBT en tiempo real e incremental antes del proceso de firma.
Además, se han reforzado las medidas de seguridad para las conexiones USB y los procedimientos de actualización de firmware, y se ha mejorado el mecanismo de aislamiento Delta Mode.
La actualización resuelve varios problemas relacionados con respaldos de billeteras activas, al tiempo que implementa generadores de números aleatorios más robustos y hace que las comprobaciones de errores sean más rigurosas. Se incluyen diversas mejoras en seguridad y precisión, junto con cambios en los valores por defecto de SIGHASH.
La advertencia más importante en el anuncio de Coldcard se refiere a las frases de recuperación actuales.
La empresa enfatizó específicamente que instalar el nuevo firmware no elimina el posible problema de seguridad en las frases de recuperación creadas con versiones de software afectadas previamente.
Los usuarios afectados por la vulnerabilidad deben primero actualizar sus dispositivos a la nueva versión de firmware, luego crear y verificar una frase de recuperación completamente nueva, y transferir sus activos de Bitcoin existentes a la billetera recién creada.
Coldcard también recomendó enfáticamente a todos los usuarios de Mk4, Mk5 y Q que actualicen sus dispositivos lo antes posible y verifiquen la firma digital del archivo de firmware descargado.
