Coldcard 硬件钱包漏洞导致 1,300 多枚比特币被盗

Coldcard 是 Coinkite 制造的一款热门比特币硬件钱包，上周曝出了一起安全漏洞，暴露了其熵生成系统中的固件缺陷。这个多年未被发现的漏洞导致生成的比特币私钥在数学上比预期更容易被猜中，进而造成超过 1,300 枚比特币被盗，部分估计数字甚至高达 2,000 枚。由于用户纷纷寻求替代方案，该漏洞还促使超过 11,000 枚比特币被转移至托管交易所。尽管 Coldcard 的设计强调隔离安全、低分辨率 LED 屏幕，以及 BBQR 和 NFC 集成等安全功能，但此次漏洞源于设备在生成私钥时未能使用高质量的熵源。用户仍可采取措施保护自己免受持续威胁。

Coldcard 漏洞暴露熵生成缺陷

此次安全漏洞利用了 Coldcard 设备生成私钥方式中的根本性弱点。虽然这些硬件钱包原本设计为使用高质量的熵源——这种随机性能够让秘密在数学上难以被猜中——但一个固件漏洞导致该功能未能正常运行。这些设备采用隔离设计，以防止恶意软件通过 USB 数据线窃取数据；使用低分辨率 LED 屏幕，以避免触摸屏带来的复杂性；并采用集成 NFC 的 BBQR 等协议进行安全数据传输。然而，这些安全功能无法弥补熵生成失效的问题。随着产品日益普及，该漏洞多年来一直未被发现。

用户将 11,000 枚比特币转移至托管交易所

在漏洞被发现后，上周有超过 11,000 枚比特币被转移至托管交易所，因为用户放弃了受影响的硬件钱包。盗窃事件仍在持续，已有超过 1,300 枚比特币被确认盗取，估计数量最高达到 2,000 枚。Coinkite 及其创始人 NVK 此前一直倡导采用特定方法保护比特币私钥免受黑客攻击，因此此次安全漏洞对于一直依赖该公司安全理念的用户而言尤为重大。

持续威胁需要用户采取行动

受影响的 Coldcard 设备用户仍可采取措施，保护其持有的资产免受持续威胁。该漏洞仍处于活跃状态，尚未遭到入侵的用户可以采取防护措施。

常见问题

Coldcard 安全漏洞是由什么引起的？
一个固件漏洞导致 Coldcard 设备在生成比特币私钥时无法使用高质量的熵源，使私钥在数学上比预期更容易被猜中。尽管设备具备其他安全功能，但该缺陷多年来一直未被发现。

Coldcard 黑客攻击影响了多少枚比特币？
已有超过 1,300 枚比特币被确认盗取，部分估计数字甚至高达 2,000 枚。此外，上周有超过 11,000 枚比特币被转移至托管交易所，因为用户正在寻求受影响硬件钱包的替代方案。