Coldcard 韌體漏洞致 Bitcoin 錢包 30 分鐘失血逾 8,000 萬美元

一個在 Coldcard 硬件錢包內部潛伏多年的韌體缺陷，令部分用戶生成的 Bitcoin 私鑰「隨機度」大幅不足，最終被攻擊者以暴力推算方式迅速還原，造成大規模資金外流。 問題源於 Coinkite 在 2021 年 3 月進行韌體重寫後推出的 4.0.1 版本。該版本把裝置原本使用的硬件隨機數產生器（hardware RNG）改成以軟件偽隨機數產生器（PRNG）為預設，令看似正常的助記詞（seed phrase）其實更易被破解。 Bitcoin 的安全性本質上取決於「熵」（entropy），即真正不可預測的隨機性。業界一般以 128-bit 熵為目標，理論上即使用暴力破解也要遠超宇宙年齡的時間。惟在 4.0.1 韌體下，Mk3 型號的有效種子熵約降至 40 bits；Mk4、Mk5 及 Q 型號約為 72 bits，均明顯低於 128-bit 標準。以 40 bits 計算，可能組合約一萬億（trillion）個，對現代運算而言可在數小時內掃完，而非數百年。 攻擊者在 2026 年 7 月下旬掌握弱點後，於 2026 年 7 月 3031 日左右展開協同「掃錢包」行動。是次事件毋須遙距入侵裝置、亦毋須釣魚電郵或惡意程式；攻擊者只是利用種子生成機制的數學弱點，針對縮窄了的密鑰空間進行運算，重構私鑰並轉走資金。 其中一輪行動已擊中約 500 個錢包，在不足 30 分鐘內轉走約 594 BTC，按當時估算約 3,800 萬美元。另有估算指，所有受影響用戶的總損失或超過 1,300 BTC，金額逾 8,000 萬美元。攻擊速度與精準度亦顯示，對手可能早已預先計算出大量高風險種子，並在同一時間集中發起轉賬。 Coinkite 其後發布已修補的韌體以堵塞漏洞。不過，更新韌體並不能「修補」過去以弱熵生成的助記詞。公司提醒，曾在受影響韌體版本上建立錢包的用戶，需要以安全方法重新生成全新助記詞，並把資金遷移至新錢包。Coinkite 更建議以實體擲骰方式（physical dice rolls）提高新種子生成時的熵，並警告不要在未修補的裝置上生成新種子。 事件亦再度引發加密市場的長期爭論：自我託管（self-custody）是否一定比把資產放在交易所更安全。部分受害者的即時反應是把餘下 Bitcoin 轉到交易所。市場亦關注，這並非高階零日漏洞或國家級攻擊，而是一次韌體更新引入的回歸缺陷（regression bug）。更值得警惕的是，問題由 2021 年 3 月一直持續到 2026 年年中，令外界質疑 Coinkite 以至整個硬件錢包行業的審計與測試流程是否足夠嚴謹。