Bitcoin Magazine
RISCO DE SEGURANÇA DO COLDCARD: AÇÃO IMEDIATA REQUERIDA
Primeiro, sim, esse é um título muito chamativo e completamente incomum. Este é um problema real de segurança. Aqui está o anúncio oficial da Coinkite postado ontem, por favor, leia e verifique a autenticidade do problema lá.
TLDR: Coldcard MK3, MK4, MK5 e Q estão sendo drenados. Um bug permite que atacantes encontrem sua frase-semente sem qualquer ação da sua parte. Apenas carteiras geradas usando o método de rolagem de dados são seguras, assumindo que você rolou pelo menos 50 dados. Se você não sabe, não se lembra ou não tem certeza, mova seus fundos imediatamente.
Este é um problema crítico que requer ação imediata. Se você usou um Coldcard para gerar uma frase-semente e NÃO usou as 50+ rolagens de dados recomendadas para fornecer sua própria entropia após o final de 2020, sua frase-semente não é segura. Ela foi gerada sem uma quantidade suficiente de aleatoriedade e pode ser forçada por um atacante malicioso. Carteiras estão sendo ativamente drenadas agora. Este problema também afeta quaisquer chaves efêmeras e chaves de sessão para os recursos Clone Coldcard ou Key Teleport, e sementes BIP 85 geradas a partir de uma semente comprometida. VOCÊ AINDA PRECISA MOVER SEUS FUNDOS.
Este ataque está sendo explorado ativamente, com cerca de 1000 BTC sendo movimentados na blockchain conectados à vulnerabilidade.
Respire e relaxe. Você deve mover seus fundos para uma nova semente de palavras, ou uma semente de palavras gerada por um dispositivo diferente, para garantir a segurança dos seus fundos.
– Se você tiver outra carteira de hardware que não seja uma Coldcard, envie seus fundos para lá. Esta é a maneira mais rápida e simples de colocá-los em um lugar seguro.
– Se você não tiver outra carteira de hardware e tiver apenas uma Coldcard, gere uma frase de acesso usando no MÍNIMO seis palavras da lista de palavras BIP 39. Use este guia para selecionar suas palavras para a frase de acesso,não escolha elas você mesmo. Verifique a impressão digital da sua carteira (ou um endereço), desligue seu dispositivo, reinicie-o e reintroduza a frase de acesso. Confirme que a impressão digital (ou endereço) corresponde e envie seus fundos para a carteira da frase de acesso.Esta não é uma solução permanente. Isso simplesmente lhe dá segurança suficiente para que um atacante não consiga forçar suas chaves em questão de dias, e você pode gerar uma nova semente sem estar em estado de pânico.Certifique-se de que sua frase de acesso esteja anotada de forma segura.
– Se você não tiver outras opções ou estiver desconfortável em usar o dispositivo, a carteira Nunchuck está disponível para mobile e desktop. Leve o seu tempo, não se apresse demais e certifique-se de que todos os seus backups estão feitos corretamente. Depois de verificar os backups, envie seus fundos para esta carteira. Se você estiver gerenciando somas significativas, o Nunchuck tem suporte para multisig. Você pode criar uma usando vários dispositivos. Blockstream Green e Bluewallet são duas outras opções para carteiras de software.
Uma vez que seus fundos estejam seguros, tire um minuto e relaxe. Coldcards ainda são seguros para usar, desde que a palavra seed seja gerada de forma segura. Um patch de firmware foi lançado aqui. Qualquer palavra seed gerada após essa atualização de firmware deve ser segura (e você também pode usar a opção de rolagem de dados). Se você transferiu seus fundos para uma carteira quente ou algo menos seguro, seu Coldcard é seguro para usar após aplicar a atualização de firmware e gerar uma nova seed.
Uma vez que você tenha garantido seus próprios fundos, pare e faça um balanço. Entre em contato proativamente com qualquer pessoa que você conheça que possa estar usando um Coldcard que era vulnerável quando gerou sua seed. Informe-os sobre o problema e, se necessário (e se você puder), ajude-os a migrar seus fundos. Nem todos prestam atenção às notícias do Bitcoin regularmente, então muitas pessoas podem não estar cientes de que estão vulneráveis.
Este post RISCO DE SEGURANÇA DO COLDCARD: AÇÃO IMEDIATA REQUERIDA apareceu pela primeira vez na Bitcoin Magazine e foi escrito por Shinobi.
Fonte: BitcoinMagazine
