Hôm nay tiếp tục xem các nội dung sau của Coldcard, và mình nhận thấy mọi người thảo luận nhiều nhất vẫn là “rốt cuộc đã mất bao nhiêu coin”.
Con số này hiện có vài phiên bản khác nhau, mình không định “chạy theo” nó. So với việc đuổi theo một thống kê vẫn đang thay đổi, thứ thật sự mà người dùng Coldcard cần xử lý là câu trong thông báo chính thức—một câu rất dễ bị bỏ qua:
Cập nhật firmware, nếu không thể sửa firmware cũ thì đã tạo sẵn cụm từ ghi nhớ (seed phrase) được rồi.
Hiện tại phiên bản khắc phục do phía chính thức đưa ra là: Mk2/Mk3 từ 4.2.0 trở lên; Mk4/Mk5 bản tiêu chuẩn từ 5.6.0 trở lên, bản Edge từ 6.6.0X trở lên; bản Q tiêu chuẩn từ 1.5.0Q trở lên, bản Edge từ 6.6.0QX trở lên. Standard và Edge là hai dòng firmware khác nhau, không thể chỉ nhìn vào con số lớn hơn hay nhỏ hơn.
Nếu cụm từ ghi nhớ của bạn được tạo trước phiên bản bản vá, đừng vội xóa sạch thiết bị. Xác nhận model và nguồn firmware, nâng cấp lên phiên bản bản vá tương ứng, rồi tạo một bộ cụm từ ghi nhớ mới. Sau khi đối chiếu dấu vân tay của ví và địa chỉ nhận tiền, hãy chuyển trước một khoản nhỏ. Xác nhận ví mới có thể nhận tiền bình thường rồi mới chuyển số tiền còn lại. Bản sao lưu cũ nên giữ lại cho đến khi tất cả giao dịch đã về hết và hoàn tất việc xác nhận, sau đó mới xử lý.
Có hai trường hợp cần nói riêng.
Nếu khi tạo cụm từ ghi nhớ đã thêm ít nhất 50 lần kết quả gieo xúc xắc công bằng, độc lập và không bị rò rỉ, theo chính thức thì vấn đề ngẫu nhiên lần này bản thân nó không gây nguy hiểm cho cụm từ ghi nhớ đó. Nếu không nhớ chính xác số lần, việc di chuyển (migration) theo nhu cầu sẽ an toàn và chắc chắn hơn.
Mật khẩu/đoạn mật bổ sung BIP-39 mạnh và duy nhất cũng giúp chặn thêm một lớp, nhưng nó không phải là mã PIN của thiết bị. Mật khẩu bổ sung không thể khắc phục cụm từ ghi nhớ cũ; theo hướng dẫn chính thức vẫn khuyên bạn nên di chuyển.
Ngoài ra, đừng lên mạng tìm “công cụ kiểm tra cụm từ ghi nhớ”, và cũng đừng gửi cụm từ ghi nhớ cho cái gọi là bộ phận chăm sóc khách hàng. Chính thức sẽ không bao giờ yêu cầu bạn nhập cụm từ ghi nhớ vào website hoặc đưa cho người lạ kiểm tra.
Trước đây tôi cũng quen coi ví phần cứng và thứ “tranh/sơ đồ an toàn” là một. Giờ phải nói lại: thiết bị chỉ có thể giảm một phần rủi ro; việc cụm từ ghi nhớ được tạo ra như thế nào mới quan trọng hơn.
Nếu bạn đã dùng Coldcard, hôm nay hãy kiểm tra phiên bản. Nếu chưa dùng, cũng có thể tranh thủ xem lần cập nhật firmware ví của bạn là khi nào.
Nguồn tài liệu: Coinkite (Coldcard Security Advisory), cập nhật ngày 1 tháng 8.