Coldcard 種子生成漏洞疑致 7,700 地址失守　涉 2,055 枚 BTC、損失約 1.3 億美元

Galaxy Research 引述鏈上分析帳號 Lookonchain 指出，與 Coldcard 事件相關的累計損失估算已達約 2,055 枚比特幣（BTC），按現值約 1.3 億美元，受影響地址超過 7,700 個。市場近期觀察到多輪疑似鏈上"清掃"行動，矛頭指向加拿大公司 Coinkite 所製硬件錢包在特定韌體版本中的種子生成缺陷。 據報，漏洞源於 2021 年 3 月一次韌體整合失誤：本應使用 STM32 的硬件隨機數生成器（RNG）來產生種子，卻被導向確定性的軟件偽隨機數生成器（PRNG）。成因涉及生產配置將 hardwareRNG 宏設定為 0，而底層 libngu 程式庫只檢查宏是否存在、而非是否啟用，最終令建置改用 MicroPython 的 Yasmarang 後備方案。該後備 PRNG 以晶片獨有識別碼及計時器暫存器作初始化，完成初始化後不再引入新熵。 Block 的分析指出，若攻擊者能夠得知或把裝置 UID、計時器狀態及過往 RNG 呼叫歷史等資訊收窄至足夠範圍，便可在離線環境重現候選輸出序列，推導出可能的金鑰與地址，再與公開區塊鏈資料比對，從而鎖定並轉走資金。 Coldcard 官方於 2026 年 7 月 31 日發出緊急安全通告： - Mk3：若在 4.0.1+ 版本以少於 50 次私下、獨立擲骰加入熵來生成種子，建議立即謹慎遷移資產； - Mk4/Mk5：韌體低於 5.6.0；或 Q：韌體低於 1.5.0Q，需先更新韌體、再生成新種子，之後遷移資產。 Coinkite 估算，受影響種子的有效熵在 Mk3 約為 40 bits，Mk4、Mk5 及 Q 約為 72 bits；相比之下，12 字 BIP39 種子對應約 128 bits。Block 指，重現種子的實際成本取決於可取得的 UID 資訊、開機時間點、既往 RNG 呼叫次數及推導運算成本。 Coinkite 已於 7 月 31 日為受影響型號及發行分支推出緊急韌體。不過，安裝更新並不能修復已生成的弱種子。公司建議懷疑種子外洩或存在風險的用戶，應在已修補韌體上重新生成新種子並把資產轉移；繼續使用舊種子等同把弱點延續。 鏈上追蹤亦披露疑似"清掃"波次的細節。針對 Coldcard PRNG 漏洞的分析顯示，首輪於 7 月 30 日發生，41 分鐘內從 1,196 個地址轉走 1,082.65 枚 BTC，平均接近每個地址 1 枚 BTC。 其後，CoinDesk 報道的追蹤結果指向第三輪疑似行動：約 1,912 個地址合共被轉走約 208 枚 BTC，平均每名受害者略高於 0.1 枚 BTC。該輪交易平均每次清掃打包約 6 名受害者，並把每名受害者資金送往不同目的地，同時改用 pay-to-witness-script-hash（P2WSH）輸出，而非早期波次採用的較簡單單鍵輸出。 Galaxy Research 表示，有信心每一輪內部行動由單一操作者執行，但提醒僅憑鏈上資料無法判斷三輪是否由同一攻擊者所為。該機構亦稱，尚未以計算方式確認所有被標記地址均由弱熵 Coldcard 種子生成。Galaxy 另已向聯邦調查人員、合規機構及網絡安全調查方通報約 600 個疑似由攻擊者控制的地址。