Coldcard漏洞致数千万美元被盗：离线钱包真能保安全吗？

核心提要：Coldcard硬件钱包因2021年一次固件配置错误，导致生成的种子密钥熵值严重不足，引发大规模离线盗币。尽管设备未联网，攻击者仍通过链上数据分析完成种子重建与资产转移，总损失或超1.3亿美元。事件暴露了离线设计无法抵御代码级缺陷的根本性风险。

离线安全神话破灭：冷卡钱包种子生成缺陷成黑客突破口

尽管硬件钱包以离线操作为安全核心，但近期曝光的Coldcard漏洞揭示其防御边界存在致命盲区。攻击者并未侵入用户设备或网络，而是通过逆向分析公开区块链数据，重构出弱熵种子短语，并成功匹配已耗尽地址。该事件由Block研究于2026年8月1日披露，引发行业对密钥生成环节信任机制的深刻反思。

随机数生成器被误设：源头缺陷埋下隐患

Coldcard由加拿大Coinkite公司开发，是一款专用于比特币的纯硬件钱包。问题根源可追溯至2021年3月的一次生产配置失误：构建时将关键宏MICROPY_HW_ENABLE_RNG设为禁用状态。虽然Coinkite自研了硬件随机数模块，但底层libngu库仅检测宏是否存在，未验证其启用状态。这一疏漏致使设备转而使用MicroPython内置的Yasmarang备用生成器，其种子仅依赖芯片唯一标识与定时器状态，后续不再采集额外熵源。

低熵种子如何被批量破解

据The Hacker News报道，受影响版本产生的实际熵值远低于标准要求——Mk3型号约为40位，Mk4/Mk5/Q型约72位，而理想BIP-39种子应具备128位熵。即便高数值也难以达到等效加密强度。攻击者在掌握设备唯一ID、定时器状态及历史调用范围后，可在完全离线环境下生成候选种子流，并利用公开的链上交易记录进行验证。整个过程无需接触用户设备、保险箱或任何物理存储介质。

离线不等于绝对安全：威胁模型需重新定义

此次事件打破了用户对“离线即安全”的普遍认知。攻击并非通过网络渗透，而是从密钥生成那一刻便已埋下伏笔。一旦种子生成时熵不足，无论后续是否接入互联网，都可能被远程还原。Galaxy Research追踪到2026年7月30日一场41分钟内完成的扫荡行动，涉及1196个地址，转移1082.65 BTC（当时价值约7020万美元）。随后又发现两波类似行为，累计转移达1367.05 BTC（约8860万美元），覆盖4585个地址。尽管模式具识别性，但尚未证实系同一团伙所为，且无法确认所有目标地址均来自该漏洞。

软硬同源：随机性缺陷横跨钱包形态

Coldcard的漏洞并非硬件特例。Coinspect研究发现，旧版软件钱包中同样存在弱伪随机数生成器缺陷，自5月以来已造成比特币、以太坊等多个链上超过500万美元资产流失。尽管两者技术路径不同，但核心风险一致：密钥生成阶段的随机性不足。无论是专用设备还是手机应用，只要代码实现存在缺陷，就可能成为攻击入口。此外，固件更新机制本身也构成独立风险——制造商控制更新流程，用户难以审计具体版本内容。Cointelegraph将其形容为“完美攻击向量”，并引用2018年Ledger漏洞作为前车之鉴。然而，本次事件属一次性编码失误，非恶意篡改，二者无关联。

补丁无法修复历史错误

Coinkite已于2026年7月31日发布紧急固件更新，涵盖Mk3至Q各型号受影响版本。CEO NVK在公开信中敦促用户立即迁移资金。但补丁仅能防止新生成种子受污染，无法修复已在旧固件中创建的弱熵种子。即使将旧种子导入新系统或其它钱包，其安全隐患依然存在。受影响版本包括：Mk3 4.0.1–4.1.9（4.2.0修复）；Mk4/Mk5 5.6.0前；Q 1.5.0Q前；Edge版本6.6.0X/QX前。若用户使用至少50次独立骰子投掷生成种子，理论上不受影响；否则建议主动迁移。多重签名方案仅在签名仲裁未全由受影响设备生成时才有效。TAPSIGNER、OPENDIME和SATSCARD因采用独立代码库，未受影响。

损失金额仍在动态演进中

由于链上追踪持续进行，不同媒体在不同时点报告了差异显著的损失估算。2026年7月31日，CoinDesk称损失达3800万美元；8月1日，The Hacker News援引Galaxy数据称1082.65 BTC（约7020万美元）；后续更新提及1367.05 BTC（约8860万美元），涉及4585个地址；Bloomberg则报道超过1亿美元；8月4日TechCrunch援引椭圆曲线专家Tom Robinson确认总额接近1.3亿美元。这些数字均为实时快照，非最终审计结果。另有个人用户自称损失160万美元，但未经链上核实。

本页面未揭示的关键信息

当前无法确定最终损失总额，所有数据均为链上调查中的阶段性估计。各媒体发布时间不同，导致数值呈现动态变化。Bloomberg所提“超1亿美元”未注明时间，无法精确比对。个人损失声明源自社交平台，缺乏独立验证。Coinspect的Ill Bloom漏洞虽同属弱随机数范畴，但被认定为独立事件，技术关联性尚无定论。Cointelegraph关于固件更新风险的论述属于另一类威胁，与本次熵缺陷无关。所有引用均基于新闻摘要，未持有原始文件。因此，本文无法判断硬件钱包是否普遍更易受此类漏洞影响，仅确认此特定缺陷已出现在多类主流产品中。