Kart kripto "cold" kini memerlukan pengesahan sebanyak 65 kali selepas isu kerentanan "seed". Pengguna yang menggunakan dompet kripto lama mesti memindahkannya ke sistem yang baru

Syarikat pengeluar dompet perkakasan Bitcoin, Coinkite, telah memperilankan perisian tegar (firmware) baharu untuk Coldcard pada 20 Ogos. Kemas kini ini menekankan keperluan bagi pengguna untuk secara manual memasukkan kebarangkalian rawak (randomness) semasa proses penjanaan kunci. Pengguna mesti melaksanakan salah satu daripada tiga kaedah: memasukkan 65 butiran kunci dengan selang masa yang tidak dapat diramal, menggulung dadu enam sisi sebanyak 50 kali, atau membaling syiling sebanyak 128 kali. Langkah ini diambil untuk mengurangkan risiko yang bergantung sepenuhnya pada penjana nombor rawak (RNG) pada dompet tersebut. Versi yang menjadi sasaran cadangan ini sangat luas. Untuk Mk2 dan Mk3, versi firmware yang terpengaruh adalah 4.0.1 hingga 4.1.9. Untuk Mk4 dan Mk5, versi firmware standard yang terpengaruh adalah versi di bawah 5.6.0, dan versi firmware Edge yang terpengaruh adalah versi di bawah 6.6.0X. Untuk peranti Q, versi firmware standard yang terpengaruh adalah versi di bawah 1.5.0Q, dan versi firmware Edge yang terpengaruh adalah versi di bawah 6.6.0QX. Analisis teknikal mendalam oleh Block menunjukkan bahawa, bahkan versi 4.0.0 untuk Mk2 dan Mk3, yang berada di luar batasan rasmi CoinKite, juga terpengaruh. Hal ini menunjukkan bahawa hanya mengandalkan standard keselamatan yang ditetapkan oleh pengeluar tidaklah mencukupi. Punca utama kerentanan ini terletak pada kod "fallback" MicroPython. Menurut analisis Block, bendera fungsi yang didefinisikan sebagai "0" telah dianggap sebagai "ada", yang memungkinkan permintaan penjanaan nombor rawak dialihkan ke mekanisme "fallback" yang deterministik. Akibatnya, keselamatan sangat terjejas jika seed dihasilkan tanpa entropi luaran yang mencukupi. Masukan fizikal yang dipaksakan bertujuan untuk membatasi kerosakan, walaupun jika penjanaan nombor rawak pada peranti gagal di masa depan, tetapi ia tidak dapat diterapkan secara retrospektif kepada seed yang telah dihasilkan. Pembaruan ini selain daripada penjanaan seed, juga merangkumi pelbagai aspek keselamatan. Ia menghubungkan semakan PSBT langkah demi langkah dengan ulasan USB, menyemak semula byte transaksi sebelum menandatangani, dan menyekat mod SIGHASH_SINGLE secara lalai. Ia juga mengehadkan muat turun USB kepada hasil sesi terenkripsi semasa, serta menambahkan fungsi pengesahan panjang fail firmware, menghentikan kegagalan RNG yang berterusan, dan menyemak sambungan perkakasan RNG semasa but. Terdapat satu pengecualian bagi keperluan migrasi. Pengguna yang menggunakan perisian (firmware) yang kurang selamat dan telah melakukan sekurang-kurangnya 50 kali gulungan dadu dalam keadaan yang adil, bebas, dan sulit, dikecualikan daripada keperluan migrasi. Namun, jika jumlah gulungan tidak mencukupi atau pengguna tidak yakin dengan syarat-syarat tersebut, mereka harus menghasilkan seed baru dan memindahkan dana mereka. Panduan rasmi CoinKite mengarahkan pengguna untuk mengikuti urutan berikut: menghasilkan seed baru, membuat sandaran dan mengesahkan cap jari dompet, mengesahkan alamat penerima pada peranti, membuat pemindahan ujian dengan jumlah kecil, dan kemudian memindahkan seluruh baki. Pengklonan atau pemulihan dompet tidak dianggap sebagai pembuatan seed baru. Coinstrike menyatakan bahawa beberapa pelanggan telah mengalami kerugian besar dan pihak berkuasa penyiasatan sedang menjalankan siasatan. Walau bagaimanapun, jumlah pasti mangsa dan jumlah kerugian keseluruhan belum diumumkan. Selain itu, mereka menyatakan bahawa pemeriksaan yang sedang dijalankan (termasuk semakan kod sumber, ujian laluan rawak pada peranti sebenar, serta pembinaan semula dan penjejakan laluan rawak) tidak meliputi audit menyeluruh terhadap keseluruhan binaan program.