Coldcard漏洞曝光：1.3亿比特币被盗背后的技术失守

核心提要：Coinkite旗下Coldcard硬件钱包因长期使用弱伪随机数生成器，导致超1500枚比特币被窃。攻击者仅靠私钥推算即完成盗取，根源在于一个被忽略的构建标志。修复已发布，但旧种子无法挽回，用户须重新生成并转移资金。

硬件钱包中的隐性危机：随机性缺失引发大规模币种流失

针对近期多起比特币资产异常转移事件，Galaxy Research确认已有超过1,596枚比特币遭盗，分属三个明确攻击阶段，另有第四波迹象浮现，若计入则总损失逼近2,055枚，按当前市价折合约1.3亿美元。其中一次交易在41分钟内完成7,000万美元的快速抽离，凸显攻击效率之高。据调查，至少15个独立实体参与了此次行动。

固件迁移埋下隐患：伪随机源悄然替代真实熵源

Coinkite于8月1日披露其技术缺陷成因——在长达八年的运行周期中，Coldcard设备所依赖的随机数生成机制实际上是一套‘可预测配方’。该问题源于2021年将加密逻辑迁移到libsecp256k1库时的集成疏漏。原本应由硬件随机数芯片提供的真随机输入，被错误地替换为名为Yasmarang的软件备用算法，此算法本用于无专用芯片的设备。

构建漏洞致安全检查形同虚设

核心问题出在一个看似微小的编译指令“#ifndef”上。该指令仅判断某配置项是否存在，而非是否启用。尽管设置值被定义为0（意为关闭），但0仍被视为已定义，导致安全验证通过，整个构建流程未触发警报。两个函数签名一致，系统误判一切正常，而真正的硬件熵源却从未被调用。

搜索空间缩水至可被暴力破解范围

对于运行固件4.0.1至4.1.9的Mk2与Mk3型号，初始种子值基于芯片序列号和系统时钟生成，估算有效搜索空间约为40比特。即便较新型号引入部分安全元件熵，也仅提升至约72比特，远低于128比特的安全标准。这意味着攻击者可在普通笔记本电脑上完成穷举，每减少一比特，计算成本减半。

确定性生成违背加密基本原理

Block工程团队分析指出，新旧设备均存在严重风险：旧款设备在已知设备标识、定时状态及调用轨迹下，密钥生成过程具有完全确定性。而确定性正是加密体系的对立面。真正随机性必须源自物理噪声，如电路电抖动或热波动，这正是硬件芯片的设计初衷，却被一个无关紧要的编译标志悄然切断。

应对方案：重生成种子，多方熵源才是关键

Coinkite已发布修复固件，但无法挽救已生成的种子。所有受影响用户必须重新创建种子，并将资产转移至新地址。官方建议采用至少50次独立投掷实体骰子的方式补充熵值，甚至推出附赠100颗小骰子的套装以方便操作。然而，比特币核心开发者Luke Dashjr提醒：普通骰子存在注塑公差偏差，可能影响熵质量，建议使用精密赌场级骰子，并辅以其他熵源。

风险认知再评估：单一来源不可信

尽管廉价骰子确实存在微小偏差，但其带来的熵损失有限。例如，一个明显偏倚的六面骰仍可提供约2.55比特熵，99次投掷后总熵接近252比特，与理想值差距甚微。相比之下，冷卡漏洞导致的40比特熵衰减，意味着安全性崩塌。真正的问题不在于熵的轻微偏移，而在于一个组件无声失效且无人察觉。

根本教训：声明需验证，代码可见未必安全

尽管Coldcard源码始终公开，且硬件随机数生成器存在于二进制文件中，但审查者只验证了其存在，未确认其实际执行。八年审计皆聚焦正确代码，却忽视了它是否真正运行。这一事件揭示了一个深刻警示：在密码学领域，‘看起来正确’并不等于‘实际安全’。真正的安全保障，来自对执行路径的持续验证，而非仅依赖静态审查。