Coldcard 駭客事件拆解：2021 年韌體漏洞如何導致超過 1.3 億美元比特幣失竊

這起 Coldcard 失竊案不是有人闖入保險箱，也不代表比特幣的密碼學已被破解。真正出問題的，是部分 Coldcard 裝置在建立控制資產的恢復種子時，沒有產生足夠不可預測的亂數。

駭客掌握這套生成模式後，可以大規模製造候選種子，再拿它們與公開可見的比特幣地址比對。一旦找到有資金的錢包，就能利用相應私鑰簽署交易、轉走資產，而無須碰到原本的硬體錢包或備份。

事件重點：離線錢包為何仍會被遠端攻破？

Coldcard 是硬體錢包，設計目的是把授權交易所需的私鑰與種子，隔離在手機、瀏覽器或交易所等連網環境之外。相較於直接運行在網路上的「熱錢包」，這種冷儲存架構通常更能降低惡意軟體、帳戶遭入侵或助記詞意外外洩的風險。

但硬體隔離只是安全模型的一部分。種子在最初生成時，仍必須依賴高品質的隨機性。2021 年 3 月的一次韌體變更，讓受影響的 Coldcard 改走可預測的軟體偽亂數流程，而不是原本預期使用的專用硬體亂數產生器。

Coinkite 後來表示，根因是建置與符號解析的整合錯誤，並非刻意設計一個較弱的備援機制。換句話說，硬體亂數產生器並不是故障後才切換到弱來源，而是程式在整合過程中錯誤地連到了 MicroPython 的 Yasmarang 偽亂數實作。

種子生成漏洞如何讓駭客重建錢包？

恢復種子可以視為錢包的總秘密：由它可以重新生成比特幣地址與簽署交易所需的私鑰。正常情況下，種子應該幾乎無法猜中；但如果攻擊者能大幅縮小可能的種子範圍，便可以在沒有原裝置的情況下搜尋正確答案。

根據 Coinkite 的技術分析及相關報道，受影響 Mk3 錢包的有效熵約為 40 位元，而原本預期為 128 位元。 這代表候選空間雖然仍然龐大，卻已小到專門化的計算資源能夠實際進行大規模搜尋。

報道所描述的攻擊流程大致如下：

1. 研究人員及攻擊者辨識出 Coldcard 種子生成流程的可預測行為。
2. 程式根據這套錯誤流程，大量生成候選種子。
3. 將候選種子推導出的地址，與區塊鏈上公開可見的比特幣地址比對。
4. 一旦候選種子對應到有資金的錢包，攻擊者便可使用相應私鑰授權轉帳。

這也解釋了為何受害者即使從未分享助記詞、把裝置離線保存，甚至將備份鎖好，仍可能失去資產：弱點在種子誕生的一刻就已存在，而不是之後的保存位置出了問題。

到底有多少比特幣被盜？

損失數字隨著調查及攻擊波次增加而變動。較早期的統計將 594.48 BTC、約 500 個單簽名錢包列入失竊範圍；後續報道則把相關損失提高至超過 1,300 BTC、金額超過 1.3 億美元。

這些數字不應被視為單一、已經定案的最終總額。不同報道涵蓋的攻擊波次、統計時間、錢包類型及比特幣價格並不完全相同。Galaxy Research 在較後期的評估中以「1.3 億美元，而且還在增加」形容損失，顯示截至 8 月中旬，調查仍在發展。

駭客是誰？

目前沒有公開確認的幕後主使者。現有報道形容這是一場仍在進行、帶有機會主義色彩的攻擊行動，至少涉及十多名未具名的駭客或團體；在漏洞曝光後，也不排除多個不同團隊同時利用同一弱點。

因此，技術根因與身分歸屬必須分開看待。前者可以追溯至 Coldcard 的種子生成實作；至於竊取資產者的身分、組織方式與所在地，現有資料仍無法確認。證據也沒有顯示比特幣網路本身遭到攻破，或所有攻擊均由同一個已確認的犯罪團體策劃。

與 2026 年加密貨幣駭客潮有何關係？

Coldcard 事件發生之際，整個加密貨幣產業正面對一段高損失期。截至 8 月初，報道引述 2026 年已發生超過 200 宗針對加密貨幣公司的駭客攻擊，損失超過 9.5 億美元。

不過，兩者的統計範圍並不相同：近 10 億美元的數字涵蓋多種加密貨幣公司與系統，而 Coldcard 的損失則集中源於錢包種子生成這一項特定弱點。事件仍然揭示一個反覆出現的自主管理風險：再強的密碼學和離線儲存，也無法彌補金鑰生成或軟體實作層面的缺陷。

Coldcard 為何原本被認為比熱錢包安全？

硬體錢包的核心理念，是讓敏感的簽署資料遠離連網裝置。相反，熱錢包通常以手機應用程式、瀏覽器擴充功能或交易所帳戶形式運作，日常暴露於更多線上攻擊面。因此，冷儲存一般能降低惡意軟體、遠端帳戶接管，以及使用過程中意外暴露助記詞的風險。

這次事件並不是駭客逐一登入 Coldcard，也不是每台裝置都被遠端控制；問題在於部分錢包一開始就用不足夠隨機的方式生成種子。把裝置鎖在安全地方，可以保護硬體本身，卻不一定能保護一個能按照公開區塊鏈資料與已知生成模式重建的數學秘密。

這個區分十分重要：本案是產品實作漏洞，不是證明所有離線錢包天生不安全，也不是比特幣地址與簽章系統已被擊破。

受害者經歷了什麼？

Jonathan Goodman 表示，自己由 Coldcard 控制的資產中約有 160 萬加元被轉走。他說自己從未向任何人透露助記詞，裝置也一直妥善保存，但這些通常被視為標準的自主管理措施，仍未能阻止失竊。

他的遭遇凸顯了本案最令人不安的一點：當秘密本身是在一個缺乏足夠不可預測性的流程中生成時，後續再嚴格的操作安全也無法補救。一把弱金鑰，即使被小心收藏，仍然是一把弱金鑰。

Coinkite 建議用戶怎樣處理？

Coinkite 於 2026 年 7 月 30 日披露問題，並發布修正版韌體及安全公告。公司提出的核心補救方式不是單純更新，而是「遷移」：

1. 從 Coinkite 官方來源安裝適用的修正版韌體。
2. 在已更新的裝置上建立完全新的錢包種子。
3. 將舊錢包的資產轉移至由新種子控制的地址。
4. 除非符合 Coinkite 列明的例外條件，否則將舊種子視為已遭洩露。

Coinkite 特別警告，更新韌體並不會追溯性地令已在漏洞韌體上生成的種子恢復安全。要真正降低風險，必須把資產轉移到全新種子控制的錢包。

安全公告指出，如果種子生成時沒有加入至少 50 次獨立且私密的擲骰結果，而資金錢包又沒有使用強度足夠、獨一無二的 BIP-39 額外密語，相關資產便可能面臨風險。

用戶應以 Coinkite 最新官方公告為準，確認自己裝置型號對應的韌體版本及遷移步驟。韌體只能從官方來源下載；任何自稱客服的人都不應要求你提供助記詞或 BIP-39 密語。

硬體錢包用戶應記住的教訓

Coldcard 案例說明，硬體錢包安全其實由多個環節組成：

• 實體隔離： 裝置與備份必須遠離未經授權者。
• 隨機性： 種子必須以足夠不可預測的熵生成。
• 韌體完整性： 裝置程式必須確實使用預定的安全元件。
• 復原管理： 發現種子可能受影響時，要更換種子，不能假設更新軟體就已修復問題。
• 交易安全： 授權轉帳前，仔細核對收款地址與交易內容。

最重要的實務原則很簡單：如果錢包種子可能透過受影響的流程生成，必須更換的是「種子」，而不只是裝置。在這起事件中，據報駭客不必偷走 Coldcard；他們只要重現裝置曾經生成的秘密即可。