Coldcard 錢包警告漏洞仍在進行　促用戶盡快轉移資金　涉款或達1.14億美元

Coldcard 硬件錢包開發團隊 Coinkite 周二確認，針對自託管錢包的攻擊仍在持續，並呼籲用戶立即把比特幣轉移到新錢包，強調這並非預防性提示。公司在公告中寫道："請把這視為緊急事項，立即遷移資金。"並呼籲通知較少上網、可能未看到更新的持幣者，因為相關修復需要用戶手動處理。 CoinDesk 早前報道，周一疑似出現第四波掃掠式盜幣行動。按 Galaxy Research 更新統計，攻擊者當日從709個地址合共轉走約449枚BTC，令累計損失由約8,900萬美元擴大至最多1.14億美元。 報道指問題源頭可追溯至一段自2021年起潛伏的韌體相關漏洞。若錢包資金只依賴單一金鑰、沒有第二重批核機制，持有人未採取行動前仍可能受影響。風險主要集中於特定型號及韌體版本。 Coinkite 指出，Coldcard Mk3（2019年型號）若在韌體4.0.1或以上版本設定過錢包，建議立即轉移資金。唯一例外是曾使用裝置"擲骰"（dice）功能的用戶：用戶需實體擲骰至少50次並輸入結果，由裝置以該組數據生成金鑰，而非由系統自動產生。公司稱這類錢包從未接觸到出錯程式碼，因此不受影響。 至於 Mk4、Mk5 及 Q 型號，用戶若使用的韌體低於5.6.0或1.5.0Q，應先更新韌體，建立新錢包（重新生成新 seed），再把比特幣轉移過去。 Seed 是控制錢包資產的主密鑰。若生成時隨機性不足，攻擊者可能推測並重建 seed，繼而在毋須接觸實體裝置的情況下轉走資金。Bouzon 在電郵回覆 CoinDesk 時表示："每個錢包最終都依賴由高質量熵值生成的根本秘密。"他補充，熵值生成"必須以安全硬件作根基，架構上不能在未被察覺下退化為不可信的軟件來源"。Bouzon 認為其他方案更差，稱在非安全硬件上的軟件錢包風險更高，把資產交給中心化交易所亦"不是擁有權，只是一張欠條（IOU）"。 市場方面，CoinDesk 數據顯示，比特幣周二美國時段初段報約63,800美元，消息公布後價格變動不大。