前言

背景： 最近一起涉及部分 Coldcard 硬體錢包的安全事件突顯出，即便是設計用來將私鑰離線保存的裝置也可能存在漏洞。本文說明該事件、總結因此產生的損失估計，並概述加密貨幣持有者可採取的實務風險緩解步驟。目標是呈現清晰、事實性的資訊，讓讀者了解該漏洞的重要性，以及負責任的回應應為何。

目的： 通知使用者該漏洞，說明竊取如何發生，並提供謹慎而適度的指導，以便未來保護數位資產。

要點彙整

重點結論： 硬體錢包可能存在韌體或設定錯誤，長期使用的裝置並不自動安全，將資金分散到多個錢包可以降低風險暴露但並非完美解決方案。請儘快更新受影響裝置並遵循廠商指引遷移已泄露的種子。

正文

在影響部分 Coldcard 硬體錢包的漏洞被利用後，加密貨幣社群經歷了一起重大安全事件，導致大量比特幣被竊。此事件促使幣安創辦人趙長鵬（通常稱為 CZ）公開警告，提醒持有者「沒有任何事是 100%」，並建議在依賴單一儲存點時務必謹慎。他的信息強調，即便是為此目的設計的硬體裝置，以及具有悠久使用歷史的舊錢包，也可能存在漏洞。

此次入侵的核心是一個起源於 2021 年 3 月所發布建置的韌體錯誤。根據研究者與裝置製造商分享的技術說明，部分受影響的裝置在產生種子材料時使用了軟體後備機制，而非裝置原本預期使用的硬體亂數產生器。由於該後備機制生成的熵較弱，導致產生的私鑰比正確生成的種子更容易被猜測或推導出來。關鍵在於，對已受影響裝置更新韌體，無法回溯地保護在錯誤條件下已建立的種子；在脆弱裝置上建立的種子必須視為可能已洩露。

安全研究人員與鏈上分析團隊透過識別在多個被清空地址中一致的交易模式來繪製被盜資金的流向。早期報告估計約 594 BTC（約 3,800 萬美元）從約 500 個錢包被盜。後續由研究團隊進行更全面的鏈上分析後，該估計大幅上修。一項分析指出，在 7 月 30 日集中 41 分鐘的時間窗內，有 1,082.65 BTC（約 7,020 萬美元）從 1,196 個地址被提走。該更新幾乎將最初的損失數字翻倍，並說明攻擊者如何快速將分散的竊取資金合併到少數地址中。

分析人員觀察到自動化利用的明顯特徵：每筆清掃交易支付相同的硬編碼手續費且沒有找零輸出，這種行為與使用已恢復的私鑰進行支出的工具相符，而非錢包持有人手動轉移。受害地址包括使用現代 native SegWit 格式建立的地址以及較舊的地址類型，顯示攻擊者使用了多途徑的密鑰掃描技術，以在不同地址格式中尋找脆弱的私鑰。被盜資金迅速聚合到少數匯總地址，報導時尚未進一步分散。

Coldcard 的製造商 Coinkite 回應，發布了緊急修補程式並建議受影響的客戶遷移到在已確認安全的裝置上重新生成的種子。他們強調，在受影響韌體上生成的種子應視為已暴露並立即替換。此回應凸顯一個重要的操作事實：當密碼學種子生成被破壞時，對已生成之秘密的唯一安全補救措施是更換，而不是僅僅打補丁。

趙長鵬對使用者的公開提醒側重於實務的風險管理。他建議持有者考慮將資金拆分到多個錢包，以降低單點遭受攻擊的影響。這種策略（有時稱為分散或密鑰拆分）可以減少災難性損失，但也會引入複雜性與潛在的操作風險。管理多個錢包會增加使用者錯誤、備份失敗或無法存取的機會。CZ 將分散視為眾多工具之一，而非萬靈藥，並以熟悉的呼籲結語：保持資訊更新並謹慎行事。

對於持有加密貨幣的個人與託管方，本次事件有幾項可供採納的重點：

1) 驗證裝置來源與韌體： 只從可信來源購買硬體錢包，並在使用前驗證韌體校驗碼或簽名。確保裝置設定為使用硬體產生的熵來生成種子，並確認廠商建議的安全初始化程序。

2) 將在脆弱裝置上生成的種子視為已泄露： 若您的裝置受到已知漏洞影響，請在已驗證為安全的裝置上生成新的種子並轉移資金。韌體更新無法修復在錯誤條件下已生成的種子。

3) 考慮風險分散： 使用多個錢包或拆分持有可以降低單一妥協帶來的曝險。衡量分散帶來的好處與管理額外備份及安全儲存的負擔。

4) 監控鏈上活動與已知指標： 鏈上分析能揭示與自動清掃一致的模式；關注社群報告有助於持有人更快反應。考慮訂閱可信的安全通告並追蹤廠商警報。

5) 維持強健的操作實務： 保持種子備份的安全且冗餘（離線存放），在漏洞揭露時遵循廠商的遷移指引，避免在不同服務間重複使用已暴露的種子或私鑰。

Coldcard 事件提醒我們，自我託管的安全模型依賴於硬體與軟體層面的正確實作。雖然硬體錢包仍是降低線上攻擊面的一個強大工具，但它們並非對錯誤或製造瑕疵免疫。透明且快速的揭露、配合廠商的回應與明確的遷移指南，能幫助減少危害。然而，個人採取安全實務的責任仍然至關重要。

最後，此事件再次強化 CZ 那句簡單卻重要的話：安全是分層且有條件的——「沒有任何事是 100%」——審慎的使用者應結合裝置衛生、周詳的操作實務，以及風險分散策略，以最大化對私人加密資產的保護。

重點洞見表