Coldcard 韌體漏洞遭利用　逾7,000萬美元比特幣被遠端盜走

【重點】硬件錢包用戶因 Coldcard 韌體漏洞遭攻擊者利用，合共損失超過7,000萬美元比特幣（BTC），資金可被遠端抽走。CoinKite 表示，部分受影響裝置在生成復原助記詞（recovery seed）時，誤用軟件隨機數而非內置硬件隨機數產生器，削弱助記詞安全性。問題源自2021年3月推出的韌體；新版韌體已修補漏洞，但無法自動補救在受影響裝置上已生成的舊助記詞。 Galaxy Research 指出，約41分鐘內共有1,082.65 BTC 從1,196個地址被一併轉走。幣安創辦人趙長鵬（Changpeng Zhao）亦提到硬件錢包同樣可能有漏洞，建議把資金分散存放於不同錢包，但同時提醒分散亦會帶來另一類風險。 【影響】助記詞生成機制出錯，直接衝擊自我託管（self-custody）信心；即使韌體更新到最新版本，舊助記詞本身仍可能存在結構性風險，單靠更新未必能徹底修復。 【市場情緒】偏淡；壓力上升；事件驅動；恐慌。 【原因】逾7,000萬美元比特幣透過 Coldcard 韌體漏洞被盜，對自我託管用戶構成即時安全壓力。 【相似案例】2023年 Atomic Wallet 遭入侵，涉及多種資產的錢包被清空，用戶損失逾3,500萬美元（《Fortune》）。兩者差異在於：Coldcard 事件焦點是韌體生成的復原助記詞安全；Atomic Wallet 則屬軟件錢包被攻破。 【連鎖反應】 一是自我託管信心：助記詞生成漏洞會令「離線存放」看起來不再能完全隔絕軟件風險。若在緊急修補後仍出現更多地址被掃走，市場關注或由單一漏洞擴大至更廣泛的助記詞更換與管理行為。 二是託管行為：用戶可能重新評估單一裝置集中存放所帶來的操作風險。 【機會與風險】 機會：若 CoinKite 後續更新顯示新增盜走已受控，自我託管信心有望逐步企穩，對關注錢包基建風險的用戶可視作觀察入場訊號。 風險：若舊助記詞繼續被使用或再出現新一輪掃錢行動，降低對單一錢包配置的依賴、分散存放可減少再度被盜的下行風險。