Coldcard hat Firmware-Versionen 5.6.1 für Mk4 und Mk5 sowie 1.5.1Q für Q veröffentlicht, nachdem es nach einem Notfall-Fix eine dreiwöchige Sicherheitsüberprüfung gegeben hat. Laut ChainCatcher behebt das Update Sicherheitsrisiken, die mit einem zuvor offengelegten Angriff auf die Mnemonik-Generierung zusammenhängen.

Die neue Firmware verlangt, dass jede neu erzeugte Mnemonik mindestens eine Quelle für Benutzereigenentropie enthält, z. B. 65 unregelmäßige Tastendrücke, 50 physische Würfelwürfe oder 128 physische Münzwürfe, kombiniert mit frischer Entropie aus STM32 TRNG, SE1 und SE2. Außerdem führt sie eine Just-in-Time gestaffelte PSBT-Verifizierung vor dem Signieren ein, stärkt die USB-Verbindungs- und Firmware-Update-Grenzen, verbessert die Isolation des Delta-Mode, behebt ein aktives Problem bei der Wallet-Backup-Funktion, verbessert die Initialisierung des Zufallszahlengenerators und Fehlerprüfungen, passt die standardmäßige SIGHASH-Einstellung an und enthält weitere Sicherheits- und Korrektheitsverbesserungen.

Coldcard sagte, das Update sei darauf ausgerichtet, das Risiko von Geräteangriffen weiter zu verringern. Das Unternehmen erklärte außerdem, dass ein Firmware-Update bestehende Mnemonics nicht beheben kann, die durch zuvor betroffene Firmware generiert wurden. Nutzer, deren Mnemonics in den Geltungsbereich der Sicherheitsmitteilung fallen, sollten das Gerät zuerst aktualisieren, dann ein neues Mnemonic generieren und verifizieren und die Gelder auf eine neue Wallet übertragen. Coldcard riet allen Mk4-, Mk5- und Q-Nutzern, das Update umgehend durchzuführen und die Signatur der heruntergeladenen Firmware zu überprüfen.