COLDCARD publicó una nueva actualización de seguridad para las carteras Mk4, Mk5 y Q tras revisar un fallo en la generación de semillas explotado en ataques que causaron pérdidas financieras a clientes. La empresa recomienda la instalación inmediata del firmware 5.6.1 en los modelos Mk4 y Mk5 y de la versión 1.5.1Q en el Q.
La actualización amplía la corrección lanzada el 31 de julio y refuerza áreas como la generación de semillas, la firma de transacciones, la comunicación USB y las copias de seguridad.
Las semillas creadas en versiones vulnerables entre 2021 y julio de 2026 siguen siendo potencialmente inseguras. Actualizar el firmware no corrige una semilla ya afectada: en esos casos, la orientación es generar una nueva en firmware actualizado y transferir los fondos.
La nueva generación de semillas exige acción del usuario
La creación de una semilla ahora exige una fuente adicional de entropía proporcionada manualmente. El usuario debe realizar al menos 65 pulsaciones de teclas, 50 lanzamientos de un dado físico o 128 lanzamientos de moneda.
El firmware combina esta entrada con fuentes de aleatoriedad del propio dispositivo y reemplazó el generador auxiliar Yasmarang por SHA-256 Hash_DRBG.
Las transacciones reciben una nueva verificación
COLDCARD también pasó a verificar nuevamente una transacción PSBT inmediatamente antes de la firma. Si el ordenador conectado modifica los datos después de la revisión realizada en el dispositivo, la operación se interrumpe.
La actualización también refuerza los controles de USB, restringe ciertos modos de firma y añade nuevas verificaciones en el generador de números aleatorios.
Las autoridades continúan investigando los robos relacionados con el fallo original. La empresa afirma que seguirá ayudando a los usuarios afectados durante la migración a nuevas semillas.
