Coldcard漏洞事件：发生了什么以及为何比特币比以往更强大

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

Coldcard漏洞事件回顾

一系列针对Coldcard硬件钱包的攻击报道将焦点重新引向自我托管，未经证实的报告指出，大量比特币从受影响的设备中被盗取。以下是现有证据所支持的关于Coldcard漏洞的真相，以及为何钱包层面的故障并不等同于比特币本身的故障。

此次事件的核心在于Coldcard硬件钱包及其部分设备生成钱包种子的方式。Coldcard制造商Coinkite发布了针对Mk3设备的种子生成警告，指出在新种子创建过程中，熵的处理方式存在风险。

关于损失规模的报道仍未经证实，且随着时间的推移不断升级。早期报道称，约500个Coldcard钱包中约有4000万美元的比特币被盗，随后有报道称，该漏洞据称已导致超过1亿美元的比特币被盗。这些数字仅来自少数来源，应视为未经核实。

对于非技术读者而言，实际影响范围有限：风险仅与受影响种子的创建方式有关，而非所有Coldcard设备都遭到全面破解。在受影响的固件上生成新钱包的用户是关注焦点，而据未经证实的报道，疑似第四波攻击又使另外449枚比特币面临风险。

此次事件揭示了硬件钱包安全的哪些问题

硬件钱包通过将密钥离线存储来降低风险，但并未消除所有攻击面。种子生成、固件信任以及备份处理均在芯片之外，既依赖于供应商代码，也依赖于用户的操作习惯。

此次的缓解措施是产品修复。Coldcard发布了固件5.6.1版本，该版本为新种子添加了用户提供的熵，直接解决了事件中提出的种子生成问题。对于持有者而言，在此类披露后应采取的行动是验证固件状态，并根据建议将资金转移至新生成且安全可靠的钱包。

这体现了产品安全与用户操作安全之间的界限。供应商可以修补有缺陷的默认设置，但只有持有者才能控制种子的生成、存储和验证方式。而供应商的透明披露正是使用户能够做出回应的前提。

为何钱包漏洞不等同于比特币漏洞

这一切均未触及比特币协议本身。该漏洞存在于钱包和供应商层面，而比特币的基础层安全依赖于去中心化的挖矿和共识机制，并非任何单一钱包供应商的固件。

这种区分是核心要点。受损的种子生成程序可能会给个别用户带来损失，报告中的损失数字也强调了这一点，但这并不会削弱这些比特币所依托的区块链。安全研究员Jameson Lopp公开讨论了这一事件，这种公开审视促使供应商更快地发布补丁。

建设性的一面在于，暴露出的弱点得到了公开修复。公开警告、不断升级的审查以及包含额外熵的固件更新，正是透明迭代循环的正常运作。更广泛的教训——正如报道中将此次损失描述为自我托管的一次警钟——在于，韧性来自于弱点的披露和加固，而非假装它们不存在。

后续关注点：损失总额的进一步确认或修正，针对未修补或易受攻击种子的更多攻击波次，以及受影响设备对更新固件的采用情况。