今日は引き続き Coldcard の続報を見ていて、皆が最も話しているのはやはり「結局いくらのコインを失ったのか」です。
この数字には今、いくつかのバージョンがあります。私はそれを持ち歩いて追いかけるつもりはありません。変わり続ける統計を追うよりも、Coldcard ユーザーが本当に対応すべきなのは、公式発表の中にあって見落とされがちなこの一文です：
ファームウェアを更新します。直せない場合は、以前に生成されたリカバリーメモ（助記詞）を新たに生成済みです。
現在、公式が提示している修復（修正）バージョンは次のとおりです。Mk2/Mk3 は 4.2.0 以上、Mk4/Mk5 の標準版は 5.6.0 以上、Edge 版は 6.6.0X 以上。Q の標準版は 1.5.0Q 以上、Edge 版は 6.6.0QX 以上。Standard と Edge は別々のファームウェア系統であり、数字の大小だけを見てはいけません。
リカバリーモード版より前にシードフレーズを生成している場合は、焦って端末を初期化しないでください。モデルとファームウェアの入手元を確認し、該当する修正版にアップグレードしてから、新しいシードフレーズを1セット生成します。ウォレットの指紋と受取アドレスを照合した後、まずは少額を送金してください。新しいウォレットが正常に受け取れることを確認してから、残りの資金を移行します。旧バックアップは、すべての入金が完了し、確認が終わってから処理してください。
個別に説明が必要なケースが2つあります。
シードフレーズ作成時に、少なくとも50回の「公正で独立しており、漏えいがない」サイコロ結果を含めていた場合、公式には今回の乱数問題自体はそのシードフレーズを脅かさないと見なされています。回数がはっきりしない場合は、必要に応じて移行するほうがより確実です。
強力で一意なBIP-39の追加パスフレーズなら、さらに一段階防げますが、これは端末のPINではありません。追加パスフレーズで元のシードフレーズの問題は修復できず、公式には引き続き移行を推奨しています。
それから、「シードフレーズ検出ツール」をネットで探したり、シードフレーズをいわゆるサポートに送ったりしないでください。公式は、シードフレーズをWebページに入力したり、見知らぬ人に渡したりするよう求めることはありません。
以前は私も、ハードウェアウォレットとセキュアエンクレーブを同一視するのが癖でした。今は言い方を変える必要があります。端末は一部のリスクを減らせますが、シードフレーズがどのように生成されるかがより重要です。
Coldcardを使っているなら、まず今日はバージョンを確認しましょう。使ったことがない場合も、ついでに自分のウォレットのファームウェアが最後にいつ更新されたかを見ておくとよいです。
出典：Coinkite（Coldcard Security Advisory）、8月1日更新。