發生了什麼事？
根據我們負責任的揭露政策，CoolBitX 希望與我們的用戶分享，我們在非常特定的條件下發現了CoolWallet S使用的加密藍牙協定中的潛在漏洞。
我們剛剛發布了新的CoolWallet 應用程式版本和 CoolWallet S 韌體更新來解決該問題。雖然無需發出警報，但我們強烈建議您盡快安裝這兩個更新，以保持設備的最佳安全性。
該漏洞如何被利用？
我們要感謝 KK8 提醒我們注意此問題，如果滿足以下 3 個非常具體的條件，則該問題可能會用於未升級的 CoolWallet：
- 如果用戶透過過時的應用程式版本使用基本的錢包創建和錢包恢復功能。
- 如果惡意行為者當時距離您和您的 CoolWallet 30 公尺以內。
- 如果不法分子準備了第二個CoolWallet來攔截私人訊息。
接下來你該做什麼
為了為您提供最佳的安全性，我們強烈建議您將 CoolBitX Crypto 應用程式和 CoolWallet S 韌體更新到以下最新版本：
- CoolBitX 加密應用程式：更新至版本 2.9.1
- CoolWallet S韌體：更新至106
在此之前，我們強烈建議您遵循以下 2 種建議方法，以 100% 抵禦上述可能的攻擊：
- 僅使用您的實體 Coolwallet S 卡（而不是應用程式）來產生新的錢包和恢復種子。
- 如果需要，請使用卡片的高級恢復程序來恢復您的錢包。
在更新之前，請避免透過我們的應用程式建立錢包並使用基本的種子恢復措施。這些都是長期的
如何更新您的 CoolWallet 和應用程式（建議）
正如您希望已經知道的那樣，我們在 2020 年初徹底修改了安全協議的結構。不幸的是，這需要稍微棘手的錢包重置才能成功切換。
如果您之前沒有進行過此重置，請執行以下操作。
若要將您的應用程式更新至版本 2.9.100 並將韌體更新至版本 106 ，請依照下列步驟完成此特定韌體更新：
- 確保您有備份的恢復種子（應該是寫在 CoolWallet S 隨附的紙卡上的 12 到 24 個數字組。如果沒有此恢復種子，請勿繼續！
- 刪除（卸載）手機上的 CoolBitX Crypto 應用程式
- 前往手機上的藍牙設定頁面並刪除 CoolWallet S (CWSXXXXXX) 裝置。
- 從 App Store 重新安裝最新的 CoolBitX Crypto 應用程式。
- 開啟應用程序，選擇相符的 CoolWallet S 序號，然後按一下「重設」。
- 重設完成後，選擇相符的 CoolWallet S 序號並按一下「連接」。
- 選擇恢復並輸入您備份的種子以檢索您的錢包資料。
- 再次更新韌體。
- 你是最新的！
- *韌體更新期間請為錢包充電。如果您需要任何進一步的協助，請與我們聯絡！
但是，如果使用者之前已將韌體更新至 105，則無需重設。這次他們只需要更新韌體和應用程式。
為什麼需要這個？
隨著比特幣價格的飆升，越來越多的不良行為者被吸引到加密貨幣行業，他們利用網路釣魚惡意軟體和更複雜的攻擊來針對私人和託管錢包（例如交易所上的錢包）。
CoolWallet S 旨在為使用者提供卓越的安全性和便利性。由於其移動性和易用性，您幾乎可以在任何環境中使用它。
因此，在與敏感資料互動時，始終安裝最新更新並考慮周圍的實體環境非常重要，就像您使用手機或其他線上裝置一樣。
如果您遵循這些簡單的準則，具有複雜冷藏功能的硬體錢包（例如 CoolWallet S）仍然是您最安全的選擇！
請繼續閱讀以了解有關此漏洞的更多資訊以及如何最好地長期保護您的加密資金。
該藍牙漏洞如何可能被利用？
藍牙的設計是一種向其他電子設備廣播訊息的通訊協定。這意味著在非常特定的情況下，當資料通過藍牙傳輸時，同一實體附近的不良行為者可能會透過其他藍牙裝置擷取錢包建立資料。
雖然CoolWallet 的資料受到軍用級AES-256 加密的保護，可以防止暴露給其他設備並始終保持重要資料離線，但在非常特定的條件下，可以將加密資料發送到30 公尺內另一個準備好的CoolWallet，並且再次使用相同的負載運行相同的命令。
因此，該漏洞允許附近的惡意行為者在傳輸資料時使用從第一個 CoolWallet 的藍牙協定檢索的資料在第二個 CoolWallet 上重新執行具有相同有效負載的命令。
這允許攻擊者透過行動應用程式重播基本的錢包恢復過程和創建新錢包，因為有效負載包含應用程式使用種子短語生成的私鑰。
再次強調，駭客必須與您和您的CoolWallet 保持在30 公尺或更短的距離（最大藍牙低功耗範圍）內，並且有效負載僅在我們的基本錢包創建或恢復過程中透露給另一個準備好的CoolWallet過程，通常只需幾分鐘即可完成。
還有其他受影響的 CoolWallet 使用案例和功能需要了解嗎？
我們可以明確地回答「不」。
錢包創建過程完成後，私鑰將永久儲存並隱藏在 CoolWallet S 中，無需任何介面來檢索它。換句話說，您的私鑰將永遠不會再離開您的 CoolWallet。
除了錢包創建和基本恢復過程之外，攻擊者將無法使用相同的有效負載重播相同的命令，這意味著駭客將無法使用額外的 CoolWallet 收到相同的輸出。
當然，我們的新更新將永遠解決這個潛在問題。
CoolWallet S 使用者如何保護自己免受不良行為的侵害？
作為有史以來第一個支援藍牙的硬體錢包（2016 年），我們認為我們在保護錢包用戶的藍牙協定方面經驗最豐富、技術最熟練。不過，我們需要您的幫助來確保端到端保護。
解決方案非常簡單。只需遵循以下 5 項建議的安全預防措施：
1) 可信環境
設定 CoolWallet 時，請確保您處於安全且私密的環境中，例如您的家中或遠離其他人的環境。 CoolWallet S 可以小心地放入您的錢包中，如果您的手機不在附近並且多層規避其生物識別安全協議，則無法使用 CoolWallet S。
2）將其離線並記錄在紙上
我們強烈建議您始終透過實際的 CoolWallet S 卡而不是我們的應用程式來設定或恢復您的錢包。當然，這需要多花幾分鐘的時間，但額外的安全好處遠遠超過了不便。
3) 保持應用程式最新
請確保您在收到發布通知後立即更新至我們最新的應用程式版本。
4) 僅官方商店更新
僅從官方 iOS 和 Google Play 商店進行更新，以避免任何可能的網路釣魚，這已經影響了其他錢包提供者。
5）先進的功能，先進的安全性
我們再說一次：為了獲得最佳的安全性，請使用「進階恢復」方法和「建立新錢包」以及由實體CoolWallet S 卡產生的助記詞來執行錢包恢復過程，以確保最佳的用戶安全性和體驗。
接下來是什麼？
我們將在接下來的幾天內發布CoolWallet 應用程式的更新，以修復潛在的安全漏洞。我們感謝 CoolWallet 社群的支持，如果您有任何進一步的疑問，請與我們聯絡。
然而，隨著比特幣等加密貨幣的價值上升到新的水平，像 CoolWallet S 這樣的硬體錢包將繼續成為挑戰我們安全協議的好人和壞人的目標。這對於加密產業來說是很正常的，它有助於我們不斷回應、實戰測試和改進我們的產品。
最後的想法
CoolWallet S 用戶資金的安全始終是我們的首要任務。 CoolWallet 採用的具有安全元件 (SE) 和附加生物識別安全措施的冷藏設備始終是確保資金長期安全的最安全選擇。
保持安全並了解情況！
分享:
CoolWallet S 安全元件韌體 + 應用程式更新
我們的 2020 年年終回顧：加密貨幣的完美風暴