Coldcard 就助记词生成漏洞发布新固件，并提示旧助记词仍需迁移

Foresight News 消息，硬件钱包厂商 Coldcard 发布公告称，已推出新固件版本，Mk4/Mk5 设备对应 5.6.1 版本，Q 设备对应 1.5.1Q 版本。该版本是继 7 月 31 日紧急修复补丁发布后，经过三周持续审查推出的，官方再次向此前因「助记词生成攻击」遭受严重经济损失的用户表示歉意。据公告，新版本要求每次生成新助记词时必须提供一种用户熵源，包括至少 65 次时间间隔不可预测的按键、50 次掷骰子或 128 次抛硬币，并将该输入与 STM32 TRNG、SE1、SE2 提供的熵源相结合。

官方提示，更新固件本身不会修复已在受影响固件上生成的助记词，如相关公告适用于用户的助记词，需先更新设备，再生成并验证新助记词后转移资金，并建议所有 Mk4、Mk5 和 Q 用户更新并验证签名固件下载。