Coldcard... Alerta, error de firmware!

[famososMuertos]

Como saben se detecta un fallo en estos dispositivos, si bien está información aparece en news, dejamos la información del caso para discusiones y precauciones según corresponde.

Hilo en el norte:
https://bitcointalk.org/index.php?topic=5589927.0

Lo que se sabe.
Modelos y versiones afectados  
Coldcard Mk3: Versiones de firmware desde la 4.0.1 en adelante (hasta la 5.0.3, que es la última para ese modelo).  
Mk4 y Mk5: Versiones anteriores a la 5.6.0.  
Modelos Q: Versiones anteriores a la 1.5.0Q.

Fuente: Coinkite

¿En qué consiste el problema?

El fallo: Se detectó una debilidad en cómo el dispositivo generaba las palabras de recuperación en versiones afectadas.

En lugar de utilizar una aleatoriedad de hardware completamente impredecible, en ciertos firmwares se redujo la entropía (la fuerza de la clave), lo que teóricamente facilitaría a un atacante adivinar la clave privada bajo ciertas circunstancias de escaneo masivo

Coinkite:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

[LUXSOS]

graves las vulnerabilidades que se encontraron, existe un reporte de cuantos bitcoin se perdieron por esta vulnerabilidad?

[Artemis3]

Ya van mas de mil. Si tienes una, saca inmediatamente todo el dinero para otra wallet. No usar coldcard.

Fue una inconsistencia en su código respecto al generador de números aleatorios, cosa que fue descubierta por un tercero y aprovechada para robar.

Lamentablemente llegamos a una era en la que, todos los proyectos de código abierto, si o si, deben lanzarles IA para descubrir vulnerabilidades. Ya no podemos esperar a que lo hagan humanos, porque los atacantes están haciendo lo mismo.

En estos días a Linux (el kernel) le parchearon mas de 400 fallos de seguridad, usando la misma metodología de ayuda con IA.