Coldcard 隨機數缺陷疑致約 1,816 BTC 損失　用戶被促重建錢包

Coldcard 推出兩項保安更新，並警告部分用戶必須重建錢包，將受影響助記詞（seed phrase）下的比特幣轉走。 最新進展 Coldcard 在 7 月 31 日緊急修補（hotfix）後完成為期三星期的覆核，隨後為 Mk4/Mk5 發布固件 5.6.1，並為 Coldcard Q 發布 1.5.1Q。覆核範圍涵蓋早前的助記詞生成失效問題，以及簽名、裝置連接、固件安裝及隨機數檢查。Coldcard 表示理解有客戶因漏洞蒙受損失，並已收緊種子生成流程，要求加入用戶自備熵值（entropy）。 受影響範圍 問題只影響在特定舊版固件上生成的助記詞，並非所有 Coldcard 助記詞都受影響。受影響版本如下： - Mk2/Mk3：於固件 4.0.1 至 4.1.9 期間生成的助記詞 - Mk4/Mk5：於標準版 5.6.0（或 Edge 6.6.0X）之前生成的助記詞 - Coldcard Q：於標準版 1.5.0Q（或 Edge 6.6.0QX）之前生成的助記詞 Mk1 裝置及其他 Coinkite 產品（TAPSIGNER、OPENDIME、SATSCARD）使用不同軟件，不在本次披露範圍內。 助記詞生成如何加強 更新後，每個新生成的助記詞必須包含至少一個由用戶提供的隨機來源，並與裝置內 STM32 真隨機數生成器（TRNG）及兩顆安全元件（SE1、SE2）共同混合。 用戶可選擇的熵值來源包括： - 至少 65 次按鍵（時間間隔需不可預測），或 - 50 次公平的六面骰私密擲骰結果，或 - 128 次實體拋硬幣 Coldcard 強調用戶輸入必須保持私密；任何能記錄到這些輸入的人，可能協助重建助記詞。這次更新只影響「更新後」新生成的助記詞，無法為既有助記詞補回隨機性。 受影響用戶需要做甚麼 1）更新裝置固件，安裝前先驗證更新檔的數碼簽章。 2）按新版熵值流程建立並核對一組全新的助記詞。 3）把資金由舊錢包轉到由新助記詞控制的地址：在裝置上確認收款地址，先作小額測試轉帳，再轉走餘額。 4）在確認遷移完成前，保留舊備份離線保存，但不要再用舊助記詞接收新資金。 注意事項與例外 Coldcard 指出，如用戶在最終助記詞字詞生成前，已加入至少 50 次公平、獨立且私密的擲骰結果，等同提供約 128 bits 熵值，無須被強制遷移。若用戶無法證明曾這樣做，官方建議仍應遷移。加入 BIP39 passphrase 可增加攻擊門檻，但不能修復「底層助記詞偏弱」的問題；即使用了 passphrase，Coldcard 仍建議更換復原助記詞。 技術成因與影響 漏洞源於 2021 年 3 月一次固件改動，可能令裝置在生成助記詞時，從 STM32 硬件 TRNG 退回到可預測的 MicroPython 決定性例程（routine）。Block 的覆核估算，較舊 Mk2/Mk3 裝置有效熵值約 40 bits，而受影響的 Mk4/Mk5/Q 約 72 bits，遠低於原設計的 128 bits，令部分助記詞可被離線搜尋推算。 研究人員把疑似攻擊歸因於四波行動，估計從超過 5,200 個地址合共盜走約 1,816 BTC（由於調查仍在進行，損失估算或有差異）。區塊鏈分析公司 Galaxy Research 已把疑似攻擊者地址分享予交易所及美國執法部門；截至 8 月初，在已確認的攻擊波次中轉移的比特幣，約 90% 仍留在已識別的目的地錢包。 其他固件改進 - 在簽名前即時進行部分簽名比特幣交易（PSBT）分段驗證 - 調整預設 SIGHASH 處理方式，改變簽名涵蓋的交易範圍 - 強化 USB 邊界與固件更新檢查、改善 Delta Mode 隔離、修正備份行為，並加入更多針對 RNG 初始化及故障的檢查 為何重要 事件再次凸顯助記詞生成所需的真隨機性。若助記詞偏弱，攻擊者可推算可能的助記詞組合，計算地址並盜走資金，過程不需要實體接觸裝置，也不依賴 PIN 或網絡攻擊。部分用戶把資金轉至交易所或其他託管方，等同把風險轉移至第三方，亦與近期交易所流入上升同時出現。 結論 如你的 Coldcard 助記詞是在上述易受攻擊的固件版本上生成，應立即更新裝置、按新版熵值流程生成新助記詞，並依 Coldcard 建議的核對步驟完成比特幣遷移。安裝更新前務必驗證固件簽章，遷移備份需保留至確認一切完成為止。