Coldcard 就比特幣黑客漏洞再發高級別保安警報

硬件錢包製造商 Coldcard 發出新一輪高優先級保安警報，指影響用戶的加密安全威脅仍未解除。公司建議所有用戶把比特幣資產轉移至新建立的錢包，並重新生成全新助記詞（seed phrases）。 Coldcard 表示，涉事漏洞與私鑰生成流程有關，曾導致約 4,000 萬美元損失，相關風險至今仍然存在。公司提醒用戶盡快更新韌體，並停止使用以舊式推導（derivation）方法生成的地址，以減少資產被未經授權轉出的風險。 對於外界指最新韌體會令 Coldcard 裝置永久「變磚」的說法，公司予以否認。Coldcard 指，若出現臨時真隨機數產生器（TRNG）錯誤，在硬件正常情況下，把裝置完全斷電並重新啟動一般可恢復正常。公司聲明指出："聲稱最新軟件會永久令 Coldcard 裝置無法使用並不正確。如遇 TRNG 錯誤，請將裝置完全斷開所有電源後重新啟動。情況屬暫時性；系統不會把任何資料寫入快閃記憶體，並已設計為可安全關機。" 開發團隊亦表示，未見證據顯示現行 TRNG 修正會永久損壞裝置。他們解釋，如屬短暫 TRNG 種子錯誤，完全關機並重啟預期可令系統回復運作。團隊正研發新補丁，強化隨機數系統在錯誤後的復原安全性。擬議更新將依循晶片供應商 STMicroelectronics 文件所載的復原程序，並加入額外保護措施，包括限制重試次數、偵測種子錯誤，以及在復原後刪除舊有 RNG 輸出。 另外，Coldcard 宣布，對 Coldcard Mk3 裝置的支援將透過另一個獨立軟件更新處理。 *本文不構成投資建議。