重點摘要

Coinkite 表示一次建置錯誤導致 Coldcard 硬體錢包在產生種子時使用軟體備援而非預期的硬體隨機產生器，使種子更易被猜測。 此疏失大幅降低實際種子強度，導致快速利用，約排空了 594 BTC（約 3,800 萬美元）。 該公司懷疑攻擊者利用 AI 分析其開源韌體來尋找漏洞，而該公司數週前用於審查的 AI 則未發現問題。韌體更新已修補此錯誤，但無法回復已由受影響韌體建立的資金。

情緒分析

• 整體情緒介於負面與中性之間。技術細節揭示了嚴重的實作錯誤，對使用者造成重大財務後果。此違規事件引發對開發與審查流程的緊急關切與批評。但也有部分緩解措施：Coinkite 發佈了緊急韌體更新與遷移指引，提供一條建設性的解決路徑。
  65%
  65% 代表在重大負面影響下，因為積極修補與清晰溝通而有所緩和。

文章內容

Coldcard 製造商 Coinkite 公佈，其韌體中的一項缺陷導致受影響裝置上建立的種子被妥協。公司表示，一個建置時的錯誤使得種子產生依賴來自 MicroPython 的軟體備援隨機產生器，而非裝置預期使用的硬體隨機數產生器。結果，受影響型號生成的錢包種子遠比設計上更可預測，攻擊者利用此弱點竊取了估計約 594 BTC，約合 3,800 萬美元。

問題源於程式碼庫中存在兩個具有相同介面的隨機性抓取函式實作：一個由 Coinkite 實作以使用硬體隨機來源，另一個為軟體備援。預處理器檢查僅驗證配置符號的存在性而非其值，因此建置可能在不產生錯誤的情況下使用備援實作。根據 Coinkite 的說法，自 2021 年 3 月遷移以來，該備援一直用於種子生成。

Coinkite 報告稱所有現行型號在某種程度上都受到影響。公司估計 Mk3 種子的實際熵降至約 40 位元，遠低於預期的 128 位元強度。較新型號（Mk4、Q 與 Mk5）包含來自安全元件的額外熵，將其實際熵提高到約 72 位元——雖有改善，但仍未達目標。使用不同程式碼基礎的其他裝置，如 Tapsigner、Opendime 與 Satscard，則不受影響。

公司認為攻擊者使用 AI 工具掃描其開源韌體並定位該缺陷。Coinkite 指出數週前他們曾用一個強大的 AI 模型分析相同代碼，但該模型未能識別此漏洞。公司寫道：「攻擊者與防禦者擁有相同的工具，但這次它沒有幫助我們，反而只幫助了壞人。」這提出了自動化程式碼審查的限制以及在安全關鍵系統中需要分層人工監督的問題。

該利用行動展開迅速：資金在約 25 分鐘內從大約 500 個錢包中被排空，之後合併到單一地址。因為韌體更新無法回溯強化已在受影響韌體上生成的種子，受影響的使用者必須在已修補的硬體上建立新種子並遷移資金。Coinkite 發佈了緊急修補——對 Mk4 與 Mk5 的 5.6.0 版，以及 Q 的 1.5.0Q 版——並建議使用者僅在更新後生成新種子，並以強 BIP-39 密碼短語或大量實體熵（例如至少 99 次擲骰）來保護它們。Mk3 持有者因該型號已停止支援，應依循另行提供的遷移路徑。

業界反應強調使用者應立即移動資金。競爭對手錢包製造商 Trezor 表示其自家裝置不受影響，並提醒使用者若暴露應盡快保護資金。Block 發表了獨立分析並確認其產品未受影響；其硬體主管敦促任何受暴露影響的使用者在安全可行時盡速轉移資金。即使將在受影響 Coldcard 韌體上建立並恢復或匯入到其他品牌的裝置，該種子仍然薄弱，因此必須遷移到新且安全生成的種子。

此事件突顯出幾項更廣泛的教訓：首先，即便是聲譽良好的開源專案也可能藏有細微的建置或配置錯誤，造成重大後果。其次，雖然 AI 協助的程式碼分析可能有其價值，但它並非萬靈丹，可能會漏掉缺陷，或如本案所指，可能被惡意方用來比防禦方更快地找到弱點。 這起事件凸顯了對密碼學程式碼進行嚴格建置驗證、確定性建置環境與多層次審查（自動與人工）的必要性。

對受影響的使用者而言，當務之急是將受支援型號升級至已修補的韌體，在已修補的硬體上生成新種子，採用建議的密碼短語保護或高熵生成方法，並立即遷移資金。對製造商與更廣泛的社群而言，此事件則促使重新評估開發工作流程、包含 AI 協助攻擊者的威脅模型，以及錢包韌體審計實務的充足性。

關鍵洞見表