COLDCARD漏洞或因编译器绕过处理出现

Odaily รายงานว่า Bitcoin News โพสต์บนแพลตฟอร์ม X ว่า การวิเคราะห์ทางเทคนิคใหม่โดย ddustin นักพัฒนาของ Core-Lightning ระบุว่า ช่องโหว่ COLDCARD ในปี 2021 อาจเริ่มต้นจากการที่นักพัฒนาพยายามเชื่อมต่อกระเป๋าเงินผ่านโค้ด Python โค้ด C ของ MicroPython และเครื่องกำเนิดตัวเลขสุ่มแบบฮาร์ดแวร์ของ STM32 โค้ดที่กำหนดเองดังกล่าวดูเหมือนจะขัดแย้งกับการใช้งานที่มีอยู่ของ MicroPython ซึ่งอาจทำให้เกิดข้อผิดพลาดของคอมไพเลอร์ หลักฐานแสดงให้เห็นว่า นักพัฒนาได้ตั้งค่า MICROPY_HW_ENABLE_RNG เป็น 0 เพื่อให้เฟิร์มแวร์สามารถคอมไพล์ผ่านได้ การเปลี่ยนแปลงนี้ก่อให้เกิดผลกระทบที่ไม่คาดคิด: เมื่อผู้ใช้สร้างกระเป๋าเงินใหม่ เฟิร์มแวร์จะไม่ใช้เครื่องกำเนิดตัวเลขสุ่มแบบฮาร์ดแวร์อีกต่อไป แต่จะถอยกลับไปใช้เครื่องกำเนิดตัวเลขสุ่มแบบซอฟต์แวร์ Yasmarang ที่อ่อนแอกว่าของ MicroPython แทน ข้อความคอมมิตที่นักพัฒนาเหลือไว้มีเพียงคำว่า "runs" การวิเคราะห์นี้ชี้ให้เห็นว่า เป็นการเตือนนักพัฒนาไม่ให้เผยแพร่โค้ดที่เกี่ยวข้องกับความปลอดภัยที่ตนเองไม่เข้าใจอย่างถ่องแท้ โดยเฉพาะอย่างยิ่งเมื่อโค้ดดังกล่าวปกป้อง Bitcoin มูลค่าหลายพันล้านดอลลาร์