Coldcard 韌體漏洞導致 7,000 萬美元比特幣被盜：一個存在五年的熵錯誤如何讓 1,082 枚 BTC 憑空消失

攻擊者如何利用區塊鏈分析服務

由工程師 Clay Garrett 帶領的 Block 比特幣工程與安全團隊發現，攻擊者使用了一個知名區塊鏈服務提供者的付費帳戶，來高效辨識並查詢弱勢錢包地址。攻擊者鏈上活動的模式——異常快速地、按順序清掃具有相同弱點的地址——引起了調查人員的警覺。Block 確認有追蹤證據直接將攻擊者的活動與該服務提供者的基礎設施連結起來。

Block 的調查結果被 Garrett 形容為具有「非凡的精確度，精細到帳戶層級」。該分析服務有效地充當了偵查工具，讓攻擊者能快速繪製出哪些地址是在有漏洞的韌體上生成的，並優先攻擊餘額最豐富的目標。

根本原因：一個前處理器錯誤

此錯誤最初於 2021 年 3 月的一次韌體提交（始於 Mk3 韌體版本 4.0.1）中被引入，當時正在進行向比特幣核心的 libsecp256k1 函式庫的遷移工作。一個構建配置巨集錯誤導致韌體略過了裝置專屬的 STM32 硬體隨機數生成器（TRNG），並回退到 MicroPython 的確定性 Yasmarang 軟體隨機數生成器 。

生產板配置將 MICROPY_HW_ENABLE_RNG 設為零，因為 Coldcard 有自己獨立的硬體隨機數生成器封裝。然而，libngu 函式庫未能正確呼叫該封裝：其檢查條件（

#ifndef MICROPY_HW_ENABLE_RNG

這導致有效熵值降至大約 32 至 40 位元（原本預期為 128 位元以上），意味著只有約 40 億種可能的種子值——對於現代硬體來說，暴力破解輕而易舉。未使用用戶添加的骰子點數或 BIP 39 助記詞密碼生成的種子詞完全暴露在風險中。

Coinkite 的 CEO Rodolfo Novak（人稱 NVK）後來承認了這個錯誤：「我明確地將 MICROPY_HW_ENABLE_RNG 設為零，以為我們兩種版本都不需要，但這並不是它實際的作用」。

受影響的裝置與韌體

在進一步分析後，Coinkite 後續將其安全公告範圍擴大到包含特定版本的 Mk4、Mk5 和 Q 韌體，並為所有受影響型號發布了緊急韌體更新。

對受影響用戶的影響

• **資金無法挽回。**被盜的比特幣已被整合，且很可能正在透過標準的混幣服務進行洗錢。
• **即使安裝了韌體修補程式，舊的種子詞仍然存在風險。**用戶必須在已修補的韌體上生成全新的種子詞，並將所有資金轉移到新地址。
• 在 2021 年 3 月至 2026 年 7 月期間於 Mk3 上生成種子詞的用戶，必須將這些種子詞視為已「燒毀」，即使他們尚未遭受損失——他們的錢包依然暴露在相同的攻擊風險之下。
• 額外的助記詞密碼或用戶提供的骰子點數可以減輕此錯誤的影響，並能保護即使使用了有漏洞韌體的某些用戶。

對自我託管論戰的影響

此漏洞動搖了自我託管的核心承諾之一——即硬體錢包的安全元件能保證加密安全性，無論軟體是否存在錯誤。

• **冷存儲並非萬無一失。**幣安創始人趙長鵬（CZ）公開警告，即使是氣隙隔離的硬體錢包，也可能因韌體缺陷而變得不安全。
• 目前的辯論正轉向對於一般投資者而言，自我託管是否值得承擔這等營運風險。一些分析師預測，資金可能會因此回流至受監管的託管機構和比特幣 ETF 。
• 該錯誤在開源程式碼中存在超過五年未被發現，表明單純的開源透明性並不能保證安全性。一些研究人員現在主張，需要AI 驅動的自動化審計——而非僅由人工進行程式碼審查——才能在微妙的 RNG 整合錯誤被利用之前將其捕獲。
• 此次事件也凸顯了一個單點故障問題：如果一家硬體廠商在熵值上犯了一個錯誤，那麼在此韌體上生成的每一個錢包都將同時變得脆弱——這是一種系統性風險，而託管解決方案可以透過金鑰分割和多方計算（MPC）來部分對沖此風險。

如需詳細的技術分析，請參閱 Block 的工程報告 以及 Coinkite 的技術背景說明 。