冷卡（Coldcard）攻擊事件引發(fā)硬件錢包安全擔(dān)憂，但并不意味著所有硬件錢包都不安全。此次漏洞源于Coldcard特定型號(hào)的固件隨機(jī)數(shù)生成缺陷，攻擊者可借此提取私鑰。其他主流品牌如Ledger、Trezor等暫未受直接影響，但事件暴露了硬件錢包供應(yīng)鏈與固件審計(jì)的潛在風(fēng)險(xiǎn)。專家建議用戶及時(shí)更新固件、啟用多重簽名并選擇經(jīng)過(guò)安全審計(jì)的產(chǎn)品以降低風(fēng)險(xiǎn)。

Coldcard熵缺陷導(dǎo)致硬件錢包信心危機(jī)。在你將比特幣托付給Ledger、Trezor或Foundation之前，以下是你需要了解的詳細(xì)信息。

就在你以為加密市場(chǎng)士氣不會(huì)再低落時(shí)，冷卡熵漏洞又出現(xiàn)了，證明你錯(cuò)了。

上周五，業(yè)內(nèi)歷史最悠久的硬件錢包之一被發(fā)現(xiàn)存在缺陷，這清楚地提醒我們，沒有一個(gè)完全安全的地方可以存放所有比特幣。

Coldcard于7月31日披露了影響多臺(tái)Coldcard設(shè)備的熵生成缺陷。自那以后，Galaxy Digital的研究人員表示，攻擊者通過(guò)多次協(xié)調(diào)攻擊，已竊取了價(jià)值至少1億美元的1596個(gè)比特幣。

錢包制造商現(xiàn)在被迫解釋一個(gè)大多數(shù)用戶從未考慮過(guò)的過(guò)程：他們的錢包如何生成私鑰以保護(hù)比特幣。

比特幣托管公司Onramp Bitcoin的產(chǎn)品負(fù)責(zé)人Michael Tanguma告訴《Magazine》：

“整個(gè)模式建立在對(duì)供應(yīng)商做對(duì)的信任上[...]幾乎沒有個(gè)人能夠?qū)徲?jì)其設(shè)備內(nèi)部的硬件、固件和熵生成。”

Coldcard背后Coinkite已發(fā)布固件修復(fù)，并要求受影響用戶遷移資金，但此事件震撼了比特幣持有者，并引發(fā)了一個(gè)令人不安的問題：

如果冷卡錢包可以被利用，那是不是意味著所有硬件錢包都有潛在的安全隱患？

地基里藏著一個(gè)竊  聽 器

Coldcard漏洞既未利用比特幣本身，也未破解現(xiàn)代密碼學(xué)，但它觸及了一個(gè)更根本的問題：隨機(jī)性。

每個(gè)比特幣錢包都從隨機(jī)數(shù)據(jù)池中生成一個(gè)助記詞，這意味著隨機(jī)性應(yīng)足夠不可預(yù)測(cè)，使得產(chǎn)生的私鑰幾乎無(wú)法猜測(cè)。熵指的是它的隨機(jī)性。

如果這種隨機(jī)性因任何原因被削弱，攻擊者可以減少可能生成的密鑰數(shù)量，最終找到重現(xiàn)它們的方法。

Coinkite于7月31日首次提醒用戶，使用受影響固件創(chuàng)建的錢包應(yīng)被視為風(fēng)險(xiǎn)，并建議客戶將資金遷移到新生成的錢包。隨著研究人員在接下來(lái)的幾天里深入挖掘漏洞，他們的注意力迅速轉(zhuǎn)向錢包如此關(guān)鍵部分的一個(gè)缺陷，竟然被忽視了超過(guò)五年。

Core Lightning開發(fā)者Dustin Dettmer認(rèn)為，這可能起源于2021年固件更改期間。

他認(rèn)為，原本用于與硬件隨機(jī)數(shù)生成器接口的代碼被禁用了，導(dǎo)致錢包創(chuàng)建系統(tǒng)退回到MicroPython較弱的Yasmarang偽隨機(jī)數(shù)生成器。

他的理論已成為該漏洞可能進(jìn)入生產(chǎn)固件的主要解釋之一，盡管Coinkite尚未確認(rèn)具體事件順序，并表示將“很快”發(fā)布完整的技術(shù)分析。Coinkite發(fā)言人告訴《Magazine》：

“某些固件版本在種子生成中有一個(gè)備用路徑，當(dāng)設(shè)備固件本身生成時(shí)，可能導(dǎo)致弱熵。”

發(fā)言人表示，那些用戶通過(guò)擲骰子或類似手動(dòng)方式自行生成熵的設(shè)備“不受這一特定后備路徑的影響”。

弱隨機(jī)數(shù)生成（RNG）并非前所未有，但與許多其他安全漏洞不同，它很難被發(fā)現(xiàn)。

比特幣安全專家Jameson Lopp指出，RNG漏洞此前曾影響過(guò)眾多加密貨幣錢包和庫(kù)，從 Blockchain.com 的Android錢包到Trust Wallet。

弱隨機(jī)數(shù)生成并不是新問題。資料來(lái)源：詹姆森·洛普

Ledger產(chǎn)品安全總監(jiān)文森特·布宗告訴《雜志》，“弱隨機(jī)性通過(guò)輸出測(cè)試”，這意味著被破壞的隨機(jī)數(shù)生成器仍可能產(chǎn)生看似隨機(jī)的值，使缺陷難以識(shí)別。

不同的錢包，不同的隨機(jī)性假設(shè)

硬件錢包制造商一致認(rèn)為安全熵生成是不可妥協(xié)的，但他們采取了不同的實(shí)現(xiàn)方法。

Ledger的理念圍繞專用安全硬件展開。Bouzon表示，Ledger設(shè)備通過(guò)嵌入認(rèn)證安全元件中的真實(shí)隨機(jī)數(shù)生成器生成種子。熵源通過(guò)AIS-31 PTG.2標(biāo)準(zhǔn)認(rèn)證，安全元件則通過(guò)通用準(zhǔn)則認(rèn)證。他說(shuō)：

“這次冷卡事件是某一具體實(shí)施的失敗，而非對(duì)安全自我保管的裁決......這種熵的生成必須錨定在安全硬件上，架構(gòu)不能悄無(wú)聲息地降級(jí)到不可信的軟件源。”

生成高質(zhì)量的隨機(jī)性，是整個(gè)項(xiàng)目成敗的關(guān)鍵。來(lái)源：查爾斯·吉勒梅特

Trezor本身結(jié)合了設(shè)備內(nèi)部生成的隨機(jī)性與主機(jī)計(jì)算機(jī)提供的隨機(jī)性，而非依賴單一熵源，且新型號(hào)還集成了額外的硬件源。

公司還包含熵檢查功能，以確認(rèn)該設(shè)備在錢包創(chuàng)建過(guò)程中確實(shí)帶來(lái)了不可預(yù)測(cè)的隨機(jī)性。Trezor首席技術(shù)官Tomáš Sušánka告訴《Magazine》：

“整個(gè)行業(yè)的結(jié)論是，隨機(jī)性不能依賴于單一來(lái)源或一行代碼的正確性。”

基金會(huì)的Passport錢包同樣依賴多熵源，同時(shí)強(qiáng)調(diào)透明度。首席執(zhí)行官扎克·赫伯特表示，Passport結(jié)合了由不同硬件組件生成的隨機(jī)性，然后才創(chuàng)建錢包。

該固件也以免費(fèi)開源軟件形式發(fā)布，構(gòu)建可重復(fù)，因此獨(dú)立研究人員可以驗(yàn)證設(shè)備上運(yùn)行的軟件是否與已發(fā)布的代碼一致。赫伯特說(shuō)：

“這個(gè)漏洞本身是冷卡特有的......更大的警告是，在人們信任這款產(chǎn)品、投入改變?nèi)松木揞~資金期間，這一現(xiàn)象被忽視了超過(guò)五年。”

信任、透明度與驗(yàn)證

Ledger、Trezor和Foundation之間的真正分歧不在于隨機(jī)性的重要性，而在于用戶如何確定它確實(shí)有效。

萊杰認(rèn)為，獨(dú)立認(rèn)證提供了最強(qiáng)有力的保障。Foundation依賴開源開發(fā)、可復(fù)現(xiàn)構(gòu)建和歡迎外部研究者，而Trezor則結(jié)合了開放固件和分層熵源，避免依賴任何單一組件。

Coinkite在安全披露方面也遭到批評(píng)，多位比特幣開發(fā)者批評(píng)該公司過(guò)去對(duì)漏洞報(bào)告的回應(yīng)以及缺乏傳統(tǒng)的漏洞獎(jiǎng)勵(lì)計(jì)劃。

Herbert認(rèn)為，歡迎外部研究人員本身就是構(gòu)建安全產(chǎn)品的一部分，與開源開發(fā)和獨(dú)立審計(jì)并列。

Kraken首席安全官、Uptake前首席安全官Nick Percoco認(rèn)為，Coldcard事件是行業(yè)采納更嚴(yán)格標(biāo)準(zhǔn)的機(jī)會(huì)，無(wú)論制造商選擇哪種設(shè)計(jì)理念。

他說(shuō)：“Coldcard熵失敗應(yīng)當(dāng)成為整個(gè)硬件錢包行業(yè)的警鐘，”他認(rèn)為，當(dāng)前的認(rèn)證方案往往只是驗(yàn)證單個(gè)組件，卻不確認(rèn)生產(chǎn)固件是否正確使用。

冷卡熵失敗應(yīng)當(dāng)成為警鐘。來(lái)源：尼克·佩爾科科

Percoco提出了一項(xiàng)行業(yè)特定的保證標(biāo)準(zhǔn)，要求對(duì)熵源進(jìn)行獨(dú)立驗(yàn)證，驗(yàn)證固件是否調(diào)用了預(yù)期的硬件隨機(jī)數(shù)生成器，并獲得與特定硬件和固件版本相關(guān)的認(rèn)證。

但這場(chǎng)爭(zhēng)論不僅限于技術(shù)實(shí)現(xiàn)，像Herbert這樣的聲音認(rèn)為開源開發(fā)也塑造了安全文化。他指出，漏洞賞金計(jì)劃和與獨(dú)立研究人員的建設(shè)性互動(dòng)是安全產(chǎn)品開發(fā)的關(guān)鍵環(huán)節(jié)。

比特幣支持者現(xiàn)在應(yīng)該怎么辦？

對(duì)于冷卡用戶來(lái)說(shuō)，如果認(rèn)為錢包是使用受影響固件創(chuàng)建的，他們當(dāng)務(wù)之急是遵循Coinkite的遷移指南。

從長(zhǎng)遠(yuǎn)來(lái)看，比特幣支持者整體應(yīng)將此事件視為一次學(xué)習(xí)時(shí)刻，像Tanguma這樣的專家強(qiáng)調(diào)，必須避免任何單一失敗都可能危及資金的設(shè)計(jì)架構(gòu)。他說(shuō)：

“如今，現(xiàn)實(shí)中，你需要多重簽名和獨(dú)立生成的熵[...]真正可擴(kuò)展的緩解措施是架構(gòu)上的：設(shè)置方式，使得任何設(shè)備、供應(yīng)商或機(jī)構(gòu)的錯(cuò)誤都不會(huì)損失資金。”

所以目前來(lái)看，答案似乎是否定的;并非所有硬件錢包都不安全。

Coldcard事件暴露了某一實(shí)現(xiàn)中的失敗，但也迫使制造商揭開了自我保管核心流程的面紗：產(chǎn)生一個(gè)無(wú)人能預(yù)見的秘密。

以上就是冷卡攻擊曝固件漏洞引硬件錢包安全擔(dān)憂并非所有設(shè)備受影響用戶需警惕風(fēng)險(xiǎn)的詳細(xì)內(nèi)容，更多關(guān)于冷卡攻擊不等于所有硬件錢包都不安全的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！

你可能感興趣的文章

• 

  Coldcard盜幣事件后，比特幣紅隊(duì)開展安全審計(jì)，發(fā)現(xiàn)4962處潛在漏洞

  受 Coldcard 錢包漏洞盜幣事件驅(qū)動(dòng)，16 人志愿者比特幣紅隊(duì)用時(shí) 27.5 小時(shí)審計(jì) 390 個(gè)開源項(xiàng)目，共發(fā)現(xiàn) 4962 處安全問題，含 85 項(xiàng)危急、635 項(xiàng)高危,項(xiàng)目由 OpenSats 資助…

  2026-08-06
• 

  FBI探員被控從嫌疑人錢包中竊取價(jià)值100萬(wàn)美元的加密貨幣

  前 FBI 反情報(bào)主管特工被控濫用職權(quán)，竊取涉案監(jiān)控錢包中價(jià)值近百萬(wàn)美元加密貨幣，長(zhǎng)期私下轉(zhuǎn)賬獲利,其事后查詢資產(chǎn)理財(cái)、移民海外，并與 ChatGPT 對(duì)話留存證據(jù)，該案暴露…

  2026-08-06
• 

  Cloudflare推出x402協(xié)議與AI錢包，智能體將獲自主支付能力，從工具升級(jí)

  Cloudflare推出x402協(xié)議與AI原生錢包，為智能體賦予自主支付、資金托管與鏈上身份能力,AI Agent不再只是被動(dòng)響應(yīng)指令的工具，而能獨(dú)立完成購(gòu)買、訂閱、轉(zhuǎn)賬等消費(fèi)決策，真…

  2026-08-05
• 

  圖解Cloudflare錢包：使用X402的穩(wěn)定幣支付新玩家

  Cloudflare正式推出Wallets錢包功能，目前僅開放賬戶昵稱認(rèn)領(lǐng)，完整穩(wěn)定幣支付、AI代理付費(fèi)等核心功能尚未上線,依托X402協(xié)議的小額交易數(shù)據(jù)亮眼，但產(chǎn)品落地與生態(tài)配套仍存…

  2026-08-05
• 

  在Coldcard被盜案件一線才知道,為什么這次影響比數(shù)據(jù)上要大的多

  誰(shuí)也沒想到，5 年前的一個(gè)漏洞，居然能引發(fā)出今年比特幣最大的盜竊案件,為了了解在案件一線對(duì) Coldcard 事件的看法和影響分析，本文聯(lián)系了慢霧創(chuàng)始人余弦，有一些受害者委…

  2026-08-05
• 

  Cloudflare做錢包了，讓AI用穩(wěn)定幣轉(zhuǎn)賬

  全球最大的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施公司之一 Cloudflare，昨天宣布推出 Cloudflare Wallets,是給 AI 智能體（Agent）用的，Cloudflare 要的是穩(wěn)定幣作為支付工具的功能性，對(duì)底層鏈…

  2026-08-05
• 

  Coldcard硬件錢包漏洞損失或達(dá)1.3億美元，15個(gè)攻擊者作案，AI查漏洞引

  Galaxy 披露 Coldcard 漏洞已被至少 15 個(gè)攻擊者利用，預(yù)估損失最高可達(dá) 1.3 億美元,業(yè)內(nèi)熱議 2 美元 AI 加固本或阻止攻擊，但也有專家質(zhì)疑 AI 事前發(fā)現(xiàn)漏洞的可行性，漏洞…

  2026-08-05
• 

  幣安錢包上線股票Meme板塊后，誰(shuí)會(huì)成為下個(gè)MarsCoin？

  7 月 30 日下午，MarsCoin 上線幣安 Alpha,隨后幾個(gè)小時(shí)，CZ 在 X 平臺(tái)發(fā)文表示，支持所有 Meme 幣，未來(lái)幾周可能會(huì)買入或賣出一兩個(gè) Meme 幣，以測(cè)試一些新內(nèi)容,本文給大…

  2026-08-04
• 

  比特幣冷錢包攻擊蔓延至 4500 個(gè)地址，損失近 8900 萬(wàn)美元

  此次大規(guī)模攻擊源于 Coldcard 2021 年固件隨機(jī)數(shù)漏洞，攻擊者可離線推算弱種子私鑰，已波及 4585 個(gè)地址，損失近 8900 萬(wàn)美元,攻擊分多波 推進(jìn)，手法持續(xù)升級(jí)，研究人員預(yù)…

  2026-08-04