在為期三週的安全審查後，Coldcard 發布了韌體版本 5.6.1 和 1.5.1Q，同時警告受影響助記詞的用戶必須創建新錢包並轉移他們的比特幣。
Coldcard 在 8 月 20 日的一篇貼文中表示，此最新版本是在 7 月 31 日緊急修復之後，經過三週審查後發布的，該修復解決了其部分韌體版本生成錢包助記詞的缺陷。
這家比特幣硬體錢包製造商為其 Mk4 和 Mk5 裝置發布了 5.6.1 版本，為 Coldcard Q 發布了 1.5.1Q 版本。根據該公司表示，此次審查涵蓋了早期的助記詞生成故障以及交易簽署、裝置連接、韌體安裝和亂數檢查等多個領域。
根據更新後的流程，每個新的助記詞必須直接從裝置所有者那裡接收至少一個隨機性來源。用戶可以透過至少 65 次不可預測時間的按鍵輸入、50 次私密擲出實體六面骰子，或 128 次實體擲硬幣來提供。
Coldcard 表示，該裝置將用戶輸入與 STM32 真實亂數生成器及其兩個安全元件（稱為 SE1 和 SE2）的新數據相結合。該公司表示，要求來自不同來源的輸入可以減少助記詞創建過程中對任何單一元件的依賴。
「每個新生成的助記詞現在都需要一個用戶熵值來源，」Coldcard 表示。
用戶必須將他們的按鍵輸入、擲骰子結果或擲硬幣保持私密，因為任何記錄這些輸入的人都可能獲得有助於重建所得錢包的資訊。該公司的說明將其標準助記詞生成流程與其進階的僅限骰子方法分開處理，後者有其自己的最低要求。
安裝最新版本只會改變 Coldcard 在更新後創建助記詞的方式。該公司警告說，韌體無法為先前生成的助記詞添加缺失的隨機性。
受影響的用戶必須首先更新他們的裝置，創建並驗證一個全新的助記詞，並將他們的比特幣轉移到由替換錢包控制的地址。將舊的助記詞導入更新的 Coldcard 韌體、不同的硬體錢包或軟體錢包會保留相同的弱點，因為底層助記詞保持不變。
Coldcard 建議用戶離線記錄替換助記詞，在裝置螢幕上確認錢包的接收地址，並在轉移全部餘額之前完成小額測試轉帳。所有者應保留舊備份，直到他們確認遷移成功，但不應繼續使用舊備份來接收資金。
據 crypto.news 在 8 月 2 日報導，官方警告適用於在特定韌體版本上創建的助記詞，而不是 Coinkite 裝置生產的所有助記詞。在版本 4.0.1 到 4.1.9 之間生成的 Mk2 和 Mk3 助記詞屬於受影響的範圍。
對於 Mk4 和 Mk5 裝置，該公告涵蓋在標準韌體 5.6.0 或 Edge 韌體 6.6.0X 之前生成的助記詞。Coldcard Q 用戶如果其助記詞是在標準版本 1.5.0Q 或 Edge 版本 6.6.0QX 之前創建的，也涵蓋在內。
Mk1 裝置不在研究人員發現的韌體問題範圍內，而 Coinkite 產品，包括 TAPSIGNER、OPENDIME 和 SATSCARD，使用不同的軟體，因此不受相同的披露內容涵蓋。
Coldcard 先前曾指出一個例外情況，即錢包所有者在生成最終助記詞之前，至少添加了 50 次公平、獨立且私密的擲骰子。根據該公司表示，這些擲骰子提供了至少 128 位元的獨立隨機性。記不清自己輸入了多少次擲骰子、使用了少於 50 次，或洩露了序列的用戶，則建議進行遷移。
BIP-39 密碼短語可以在攻擊者和錢包之間建立另一道屏障，但 Coldcard 表示密碼短語本身並不能修復助記詞。因此，受影響助記詞的所有者被告知即使他們添加了強密碼短語，也應替換底層恢復短語。
除了助記詞創建之外，此版本還在簽署之前立即增加了對部分簽署比特幣交易的分階段驗證。部分簽署比特幣交易（通常稱為 PSBT）允許錢包審查和批准交易數據，而無需將其私鑰暴露給線上電腦。
Coldcard 表示，新的檢查將 PSBT 驗證分為多個階段，然後裝置才會生成簽名。該公司還更改了其預設的 SIGHASH 處理方式，SIGHASH 決定了比特幣交易的哪些部分包含在簽名中。
其他變更強化了 USB 連接和韌體更新的邊界。此版本還改進了 Delta 模式隔離，修復了涉及活躍錢包的備份問題，並增加了對亂數生成器初始化和可能故障的檢查。
下載更新的用戶被告知在安裝之前驗證其數位簽章。韌體簽章允許所有者檢查文件是否來自 Coldcard，以及它在發布後是否被篡改。
此發布是在 2021 年 3 月的一次韌體變更中引入的助記詞生成缺陷之後。Block 的比特幣工程和安全團隊表示，受影響的軟體在創建錢包助記詞時調用了確定性 MicroPython 後備方案，而不是使用預期的 STM32 硬體亂數生成器。
根據 Block 的審查，較舊的 Mk2 和 Mk3 裝置可以生成約 40 位元有效隨機性的助記詞，而易受攻擊的 Mk4、Mk5 和 Q 裝置雖然從安全元件接收了一些輸入，但僅達到約 72 位元。這兩個數字都低於預期的 128 位元等級，使得一些助記詞在離線環境下可以實際搜尋。
生成可能助記詞的攻擊者可以推導出其比特幣地址，並將其與公共區塊鏈記錄進行比較。找到匹配項將提供轉移資金所需的私鑰，而無需獲取實體裝置、得知其 PIN 碼或攻擊比特幣網路。
隨後對該缺陷的分析詳細說明了四波疑似攻擊，這些攻擊從超過 5,200 個地址中移除了約 1,816 枚比特幣。研究人員將已確認的受害者報告與透過交易模式識別的地址分開，因此損失估計有所不同。
此事件也影響了一些比特幣所有者處理託管的方式。8 月 4 日一份關於交易所流入的報告援引 OKX 首席合規官 Jonathan Brockmeier 的話稱，在 Coldcard 攻擊之後，該交易所記錄了異常高的存款。
Brockmeier 表示：「我們現在看到 Coldcard 事件後，流入中心化交易所的資金達到了創紀錄的水平。」
將比特幣轉移到交易所消除了所有者對助記詞生成和儲存的直接責任，但將資產的控制權交給了第三方託管人。只希望接觸比特幣價格的美國投資者也可以使用比特幣現貨交易型基金，其股票透過受監管的經紀帳戶交易，而機構託管人則持有底層比特幣。
Galaxy Research 表示，它已將疑似攻擊者地址分享給交易所、區塊鏈調查員和美國聯邦執法機構。該研究公司還在 8 月初報告稱，在已確認的攻擊波次中被盜的比特幣中，約 90% 尚未從已識別的目的地錢包中轉移。
