How the flaw works
The Mk3 generates entropy by measuring the timing of user button presses during initialization. That randomness turned out to be far too predictable. The issue affects Mk3 devices running firmware 4.0.1 or later, as well as Mk4 and Mk5 units before firmware 5.6.0, and Q devices before version 1.5.0Q. Coinkite, the company behind Coldcard, published an advisory this week detailing the problem and urging users to migrate.
" Translation: "Πώς λειτουργεί το ελάττωμα
Το Mk3 παράγει εντροπία μετρώντας τον χρόνο των πατημάτων των κουμπιών κατά την αρχικοποίηση. Αυτή η τυχαιότητα αποδείχθηκε υπερβολικά προβλέψιμη. Το πρόβλημα επηρεάζει συσκευές Mk3 με υλικολογισμικό (firmware) 4.0.1 ή νεότερο, καθώς και μονάδες Mk4 και Mk5 πριν από το firmware 5.6.0, και συσκευές Q πριν από την έκδοση 1.5.0Q. Η Coinkite, η εταιρεία πίσω από το Coldcard, δημοσίευσε αυτή την εβδομάδα μια συμβουλή (advisory) που περιγράφει λεπτομερώς το πρόβλημα και προτρέπει τους χρήστες να μεταφέρουν τα κεφάλαιά τους.
" We need to keep "firmware" as is or translate? Usually "υλικολογισμικό" is the Greek term, but many use "firmware". We'll use "υλικολογισμικό" for clarity, but we can also keep "firmware" in parentheses. Let's use "υλικολογισμικό" and mention "firmware" maybe not necessary. But we'll be consistent. Third paragraph: "Who is affected
The highest-risk profile is a Mk3-generated seed used in a single-signature setup with no BIP-39 passphrase, no dice entropy, and no multisig. A strong passphrase adds an independent barrier, but Coinkite still recommends migration. Multisig setups confine the risk to one signer — if the other keys are independent, the overall wallet remains safe. User-supplied dice entropy can mitigate the flaw, but only if at least 50 fair rolls were used; fewer rolls or any uncertainty still requires a full migration.
" Translation: "Ποιοι επηρεάζονται
Το προφίλ υψηλότερου κινδύνου είναι ένα seed που δημιουργήθηκε σε Mk3 και χρησιμοποιείται σε ρύθμιση μονού υπογραφής (single-signature) χωρίς φράση πρόσβασης BIP-39, χωρίς εντροπία από ζάρια και χωρίς multisig. Μια ισχυρή φράση πρόσβασης προσθέτει ένα ανεξάρτητο εμπόδιο, αλλά η Coinkite εξακολουθεί να συνιστά μετεγκατάσταση. Οι ρυθμίσεις multisig περιορίζουν τον κίνδυνο σε έναν υπογράφοντα — αν τα άλλα κλειδιά είναι ανεξάρτητα, το συνολικό πορτοφόλι παραμένει ασφαλές. Η εντροπία από ζάρια που παρέχεται από τον χρήστη μπορεί να μετριάσει το ελάττωμα, αλλά μόνο αν χρησιμοποιήθηκαν τουλάχιστον 50 δίκαιες ρίψεις· λιγότερες ρίψεις ή οποιαδήποτε αβεβαιότητα απαιτεί πλήρη μετεγκατάσταση.
" We should keep "BIP-39" as is, "multisig" as is, "single-signature" as "μονής υπογραφής" but we can also keep "single-signature" in English? Better to translate as "μονής υπογραφής" but we can put in parentheses. We'll do "μονού υπογραφής (single-signature)"? Actually we can just say "ρύθμιση μονού υπογραφής" without English. But to be clear, we'll keep "single-signature" in English? Let's see: In Greek crypto community, they often use "single-sig" and "multi-sig" as is. We'll keep "single-signature" as "μονής υπογραφής" but also mention "multisig" as "multisig". We'll keep "multisig" as is. Fourth paragraph: "What users need to do
There is no firmware fix that can change existing keys. The only remedy is to generate a new seed on an unaffected device and transfer all funds. Coinkite recommends verifying the backup, fingerprint, and receive address,
