Coldcard 固件漏洞导致金额为 7000 万美元的比特币被盗事件在 41 分钟内发生

Coldcard 硬件钱包用户在 7 月 30 日遭遇盗窃：窃贼利用固件漏洞计算私钥，并在 41 分钟内清空 1,196 个钱包，导致比特币损失 7,000 万美元；相关研究来自 Galaxy 和 Block。该漏洞源于 2021 年 3 月引入的一处编码错误，导致设备的随机数生成器回退为可预测的输入，包括序列号和时钟数据，使钱包种子可通过暴力计算进行猜测。币安创始人赵长鹏（CZ）在回应该事件时警告称，即便是成熟的硬件钱包也可能存在关键漏洞，建议用户在多个钱包之间分散资金，尽管这种策略会引入额外风险。

CZ 建议冷卡被盗后进行资金分散

CZ 在早期报道称损失估计为 3,800 万美元之后发布了回应，尽管最终确认金额几乎翻倍。“即使是硬件钱包也可能有漏洞。即使是老钱包（拥有很长历史）也可能有漏洞。如何缓解？也许可以把资金分到几个钱包里？这会带来一套不同的风险。没有任何东西是 100%。保持信息更新。保持 SAFU！”CZ 写道。他承认把币分散到多个钱包会带来自身的一系列安全权衡。币安创始人近期还讨论了他错过的一些投资电话会议，包括当前估值超过 3,000 亿美元的稳定币市场。

2021 年 3 月的编码错误导致 Coldcard 种子变得可预测

该漏洞源自 Coldcard 设备生成钱包种子的方式。每个钱包都从一个称为种子的单一大型随机数中派生全部密钥和地址。Coldcard 使用专用芯片为这一关键值生成真正的随机性。2021 年 3 月的一次编码失误让系统悄悄切换到依赖弱备份随机数生成器的方案，该方案依赖设备序列号和内部时钟，这两项信息攻击者可以确定或估算。Block 工程师计算称，在这种有缺陷的系统下，较新机型大约存在 40 亿个可能的种子值范围，现代计算机可以进行穷尽式测试。攻击者生成潜在种子，将它们转换为地址，并扫描公共区块链以查找包含资金的匹配项。Galaxy 研究人员记录到，每笔被盗交易支付了相同的费用，且远高于正常费率，同时没有产生找零，表明更像是自动化软件操作而非人工操作。“整个事件跨越 6 个区块和 41 分钟。在中间的 3 个区块中完全没有扫荡活动，表明这些交易可能是以批次方式广播，而不是连续流式发送，”Galaxy 研究人员表示。Block 的 Clay Garrett 指出，攻击者使用了区块链服务提供商上的付费账户来查询源数据。

Coinkite 推出固件修复但无法修复既有种子

Coinkite 已为所有受影响的 Coldcard 机型发布更新固件。该更新无法修复在有缺陷的随机数生成器下生成的种子。可能已被攻破种子的用户必须生成新的种子并迁移到新钱包。Coinkite 的公告称，在初始设置期间进行 50 次或以上的私有骰子掷点（private dice rolls）可以在有缺陷固件下仍保持种子强度。添加 BIP39 口令可提供额外的安全层。Block 的分析将较老的 Mk2 机型列为存在风险的对象，但 Coinkite 的公告未点名该具体机型。不存在用户可访问的测试来验证现有种子是否使用了弱随机数生成器生成。被盗比特币仍未从以下 4 个地址转出：bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r，bc1qx76cae2706qd5q576feh7xq8rfcsjpf2htfhe3，bc1q8jy96fe5lf8vfugydnte3cguk92gpev7kwtp3q，以及 bc1qnk4zh9qcnap2mycp56qjrgza3cc8ylrh8fecp0。Galaxy 表示，只要脆弱种子仍持有资金，就仍可能发生额外的扫荡。Block 通过付费数据服务账户追踪了攻击者，并将调查结果提交给了当局。

常见问题

7 月 30 日 Coldcard 钱包被盗的原因是什么？
2021 年 3 月引入的固件漏洞使 Coldcard 设备使用了弱备份随机数生成器，该生成器依赖诸如序列号和时钟数据之类的可预测输入，从而使攻击者能够计算私钥，并在 41 分钟内从 1,196 个钱包中盗走 7,000 万美元。

CZ 是如何回应 Coldcard 安全事件的？
CZ 建议比特币持有者将资金分散到多个钱包中，同时承认这种策略会带来不同风险。他表示，即使是拥有很长历史的硬件钱包也可能含有漏洞，而且没有任何安全方案能做到 100% 有效。

固件修复后 Coldcard 用户必须采取哪些步骤？
由于固件更新无法修复在有缺陷的随机数生成器下创建的种子，用户必须生成新的种子并迁移到全新的钱包；Coinkite 建议在设置期间进行 50 次或以上的骰子掷点，并添加 BIP39 口令以增强安全性。