Coldcard 固件 5.6.1 在 $112M 漏洞攻击后要求用户提供熵。

Coinkite 在周四的一篇博客文章中为 Coldcard Mk4 和 Mk5 设备发布了固件 5.6.1，并为 Coldcard Q 发布了 1.5.1Q。新固件要求新生成的种子包含用户提供的熵，并将其与设备改进后的随机性混合。此次更新要求用户至少以不可预测的时间间隔按键 65 次、掷 50 次六面骰子或抛硬币 128 次，并将这些输入与设备安全元件和硬件随机数生成器（RNG）产生的随机性结合。Galaxy Research 在 8 月 14 日的一份报告中称，此次变更是在确认 Coldcard 漏洞造成 1,778 枚比特币（BTC）损失（价值约 1.12 亿美元）之后推出的。根据 DefiLlama 数据，这使其成为 2026 年第三大加密货币漏洞攻击事件。Coinkite 强调，即使升级固件，现有助记词仍然存在漏洞，用户必须在迁移资金前用新种子替换这些助记词。

Coinkite 在固件 5.6.1 和 1.5.1Q 中要求用户提供熵

此次固件发布要求新生成的种子包含用户提供的熵。用户至少需要以不可预测的时间间隔按键 65 次、掷 50 次六面骰子或抛硬币 128 次。用户输入会与来自多个设备来源的随机性相结合，包括设备安全元件和硬件随机数生成器（RNG）产生的随机性。这些混合后的随机性将用于创建钱包助记词，旨在确保即使设备的某个熵来源发生故障，其私钥仍然不可预测。

Coldcard 漏洞已确认造成 1,778 枚比特币损失

Galaxy Research 在 8 月 14 日的一份报告中称，Coldcard 漏洞造成的已确认损失达到 1,778 枚比特币（BTC），价值约 1.12 亿美元。根据 DefiLlama 汇总的数据，这使 Coldcard 漏洞攻击成为 2026 年第三大加密货币漏洞攻击事件。Coinkite 要求用户立即升级，并强调即使升级固件，现有助记词仍然存在漏洞，用户必须在迁移资金前用新种子替换这些助记词。

固件增加 USB 和交易安全措施

该公司 7 月 31 日发布的固件更新已经修复了新创建钱包中的种子生成漏洞。周四发布的版本是在为期三周的更广泛安全审查后推出的，同时还增加了针对 USB 数据处理、交易签名和硬件随机性的安全措施。Coinkite 表示，此次更新通过在签名前立即重新验证交易，解决了利用受入侵计算机 USB 端口进行攻击的理论风险。该固件还引入了额外的硬件随机数生成器检查，以及一项启动时测试，用于验证钱包是否正在使用预期的硬件路径。其他变更包括将 USB 下载限制为设备最近一次输出的内容，并要求使用加密会话；此外，某些会使交易输出保持可延展状态的比特币签名哈希模式现在默认被阻止。

Coinspect 推出 Unlukey 弱种子检测工具

区块链安全公司 Coinspect 公开了 Unlukey，这是一款用于识别由弱助记词生成的钱包地址的免费公共工具。Coinspect 在周五的一篇 X 帖子中表示，该工具的首个版本旨在复现已知的弱种子生成方式，并检查公共地址是否属于受影响的数据集。弱种子生成是导致 Coldcard 漏洞的主要问题之一。TRM Labs 表示，2021 年 3 月的一个固件漏洞削弱了部分 Coldcard 钱包的种子随机性，使密钥强度从 128 位降至 40 位，并使这些密钥“无需物理访问即可被暴力破解”。

常见问题

Coinkite 在周四的固件更新中发布了什么？
Coinkite 为 Coldcard Mk4 和 Mk5 设备发布了固件 5.6.1，并为 Coldcard Q 发布了 1.5.1Q。新固件要求新生成的种子包含用户提供的熵，用户至少需要按键 65 次、掷 50 次骰子或抛硬币 128 次，并将这些输入与安全元件和硬件随机数生成器（RNG）产生的设备随机性相结合。

Coldcard 漏洞造成了多少损失？
Galaxy Research 在 8 月 14 日的一份报告中称，Coldcard 漏洞造成的已确认损失达到 1,778 枚比特币（BTC），价值约 1.12 亿美元。根据 DefiLlama 数据，这使其成为 2026 年第三大加密货币漏洞攻击事件。

Coinspect 的 Unlukey 工具是什么？
Coinspect 公开了 Unlukey，这是一款用于识别由弱助记词生成的钱包地址的免费公共工具，并在周五的一篇 X 帖子中宣布了该工具。该工具会复现已知的弱种子生成方式，并检查公共地址是否属于受影响的数据集。