کالڈ کارڈ، سیڈ کمزوری کے بعد 65 بار کی انٹری لازمی… موجودہ والٹس کے لیے، منتقل کرنا ضروری ہے۔

بٹ کوائن کے ہارڈ ویئر والٹ بنانے والی کمپنی، کوائن کائٹ (Coinkite) نے 20 اگست کو کولڈ کارڈ (Coldcard) کے نئے معیاری فرم ویئر کو جاری کیا۔ اس اپ ڈیٹ کا بنیادی مقصد یہ ہے کہ سیڈ (seed) بنانے کی प्रक्रिया کے دوران، صارف کو لازماً фізиقی طور پر بے ترتیب عناصر کو خود ہی درج کرنے پر مجبور کیا جائے۔ صارف کو غیر متوقع وقفوں پر کم از کم 65 بار کی (key) درج کرنا، 6 اطراف والے ڈائس کو 50 بار پھینکنا، یا 128 بار سکہ اچھالنا، ان میں سے کسی ایک عمل کو لازماً انجام دینا ہوگا۔ یہ شرط والٹ کے رینڈم نمبر جنریٹر (RNG) پر مکمل طور پر انحصار کرنے کے خطرے کو کم کرنے کے لیے اختیار کی گئی ہے۔. مک2 اور مک3 کے لیے، تجویز کردہ ورژن 4.0.1 سے 4.1.9 تک ہیں۔ مک4 اور مک5 کے لیے، یہ معیاری فرم ویئر 5.6.0 سے کم اور ایج فرم ویئر 6.6.0X سے کم ہیں۔ Q ڈیوائس کے لیے، یہ معیاری فرم ویئر 1.5.0Q سے کم اور ایج فرم ویئر 6.6.0QX سے کم ہیں۔ بلاک کے آزاد تکنیکی تجزیے سے پتہ چلا ہے کہ مک2 اور مک3 کے 4.0.0 ورژن کو بھی شامل کیا جانا چاہیے، اور اس تجزیے نے خبردار کیا ہے کہ مینوفیکچرر کے ذریعہ تجویز کردہ حفاظتی معیارات پر مکمل طور پر اعتماد نہیں کیا جا سکتا۔. اس کمزوری کی بنیادی وجہ میکرو پائتھن کے بیک اپ کوڈ میں موجود ہے۔ بلاک کے تجزیے کے مطابق، ایک فنکشن کا فلگ، جسے صفر پر سیٹ کیا گیا تھا، اسے 'موجود' سمجھا گیا، جس کی وجہ سے رینڈم نمبر جنریشن کی درخواست کو ایک طے شدہ طریقہ کار کے ذریعے بھیجا جا سکتا تھا۔ اس کے نتیجے میں، اگر سیڈ (seed) کو کافی بیرونی اینٹروپی کے بغیر بنایا گیا، تو سیکیورٹی میں نمایاں کمی آ گئی۔ جبری фізиقی ان پٹ کا مقصد مستقبل میں ڈیوائس کی رینڈم نمبر جنریشن میں ناکامی کی صورت میں نقصان کو محدود کرنا ہے، لیکن یہ پہلے سے بنائے گئے سیڈ پر لاگو نہیں کیا جا سکتا۔. اس اپ ڈیٹ میں سیڈ جنریشن کے علاوہ، متعدد حفاظتی عناصر بھی شامل ہیں۔ اس میں USB ریویو کو مرحلہ وار PSBT چیکسم سے منسلک کرنا، دستخط سے پہلے ٹرانزیکشن بائٹس کی دوبارہ جانچ کرنا، اور SIGHASH_SINGLE موڈ کو بطور ڈیفالٹ بلاک کرنا شامل ہے۔ USB ڈاؤن لوڈ کو موجودہ انکرپٹڈ سیشن کے نتائج تک محدود کر دیا گیا ہے، اور فریم ویئر فائل کی لمبائی کی تصدیق، مستقل RNG خرابی کو روکنے، اور بوٹ کے دوران ہارڈ ویئر RNG کنکشن کی تصدیق کرنے کی خصوصیات بھی شامل کی گئی ہیں۔. مائی گریشن کے احکامات میں ایک استثناء ہے: وہ صارفین جنہوں نے کمزور فرم ویئر استعمال کرتے ہوئے، غیر جانبدارانہ اور آزادانہ حالات میں، کم از کم 50 بار ڈائیس کو رول کیا ہے، انہیں مائی گریشن سے مستثنیٰ قرار دیا جائے گا۔ تاہم، اگر تعداد ناکافی ہے یا مذکورہ حالات کے بارے میں یقین نہیں ہے، تو نئے سیڈ کو جنریٹ کرنا اور فنڈز کو منتقل کرنا لازمی ہے۔ CoinKite کی آفیشل گائیڈ میں بتایا گیا ہے کہ نئے سیڈ کو جنریٹ کرنا، بیک اپ لینا، والٹ فنگر پرنٹ کی تصدیق کرنا، ڈیوائس پر وصولی کے ایڈریس کی تصدیق کرنا، ایک چھوٹی رقم کا ٹیسٹ ٹرانسفر کرنا، اور اس کے بعد مکمل رقم کو منتقل کرنا، یہ مراحل اختیار کیے جائیں۔ والٹ کی نقل یا بحال کرنا، نئے سیڈ کو جنریٹ کرنے کے طور پر نہیں سمجھا جائے گا۔. Coinkite نے بتایا ہے کہ کچھ صارفین کو سنگین نقصان پہنچا ہے اور ان کی تحقیقات جاری ہیں۔ تاہم، انہوں نے متاثرہ افراد کی تعداد یا کل نقصان کی مقدار کا اعلان نہیں کیا۔ مزید برآں، انہوں نے واضح کیا ہے کہ فی الحال جاری کیے گئے جانچ کے عناصر (سورس کوڈ کا جائزہ، حقیقی آلات پر RNG کا ٹیسٹ، قابلِ تقلید بلڈ اور ڈائی کا ٹریس) مکمل آڈٹ کے مترادف نہیں ہیں۔.