Coldcard五年种子生成漏洞引发现硬件钱包固件独立测试呼声
在疑似攻击已从数千个钱包中盗取价值近9000万美元的后，Coldcard长达五年的种子生成漏洞再次引发业界对硬件钱包固件进行独立测试的呼吁。
摘要
在Coldcard安全漏洞曝光后，Kraken首席安全官呼吁对硬件钱包种子生成进行独立测试。疑似攻击已盗取近9000万美元的比特币，Galaxy Research追踪到超过5200个潜在受害地址。Coinkite已发布修复固件，但表示受影响用户必须创建新的助记词，因为更新无法修复现有钱包。安全研究人员将问题追溯至固件错误，该错误在钱包创建过程中使用了较弱的随机数生成器。
Kraken首席安全官Nick Percoco在X平台上发文表示，这一事件应成为硬件钱包行业的警示，他指出制造商不应是唯一验证钱包助记词生成方式的实体。生产固件应接受独立测试，以确认在创建钱包密钥时实际使用的随机源与批准的随机源一致。
根据Galaxy Research的最新区块链分析，疑似攻击者已从四个观察到的攻击波次中，从超过5200个潜在受害地址中掠走超过1800枚比特币，但该公司强调这些数字是基于链上估算，而非确认的损失。Coinkite尚未核实每个受影响的钱包，且仅凭区块链数据无法确定这些攻击是否由单一行动者实施。
Coldcard漏洞五年未被发现
Coinkite于周四披露，该漏洞可追溯至2021年3月，当时公司在集成新加密库时迁移了部分固件。更新后的固件未使用Coldcard原本的硬件真随机数生成器创建钱包种子，而是意外调用了由MicroPython提供的较弱确定性伪随机生成器。根据Coinkite的事后分析，原本的随机数生成器仍在固件其他部分运行，因此代码审查能够验证其存在，却未发现钱包创建依赖的是另一个熵源。该公司表示，在调查之前，他们并不知道MicroPython生成器存在于相关代码路径中。虽然硬件随机数生成器继续为其他功能运行，但已不再负责生成新的钱包密钥。
Block的比特币工程与安全团队在技术审查中独立得出了相同结论。该公司表示，受影响的固件在创建钱包种子时，调用了确定性MicroPython后备机制，而非STM32硬件随机数生成器。尽管Block尚未完成对所有设备的全面实证测试，但鉴于已有活跃盗窃报告出现，他们决定披露这一发现。
Coinkite估计，在受影响的Mk2和Mk3设备上创建的种子可能仅包含约40比特有效熵，而受影响的Mk4、Mk5和Q型号可能包含约72比特，远低于预期的128比特。
硬件钱包测试缺乏熵验证
Percoco以Coldcard事件为例指出，硬件钱包认证忽略了钱包安全中最重要的部分之一。他表示，用户目前只能相信制造商正确实现了种子生成，因为没有独立流程验证生产固件是否实际调用了经批准的熵源。Percoco认为，现有认证——包括安全元件的通用标准评估、CSPN审查以及供应商赞助的审计——均未系统性地验证这一关系。
为了说明这一缺口，他提到了美国标准NIST SP 800-90B（规范加密系统中真随机数生成器设计与验证）以及德国BSI AIS-31框架（设定类似测试要求）。他指出，硬件钱包目前缺乏类似的端到端验证。Percoco还将该行业与支付安全领域进行对比，指出PIN输入设备未经独立实验室测试不得发货，而美国政府加密模块在批准前需要进行熵源验证。
Coldcard用户仍需创建新钱包种子
随着周末攻击活动持续，Coinkite表示在确认漏洞后已暂停所有发货，并销毁了设施内所有含有受影响固件的剩余设备。然而，该公司建议客户不要丢弃受影响的设备，因为如果被盗资金最终通过法律程序追回，这些设备可能成为重要证据。Coinkite补充称，其法律团队将酌情与多个司法管辖区的执法机构协调。
针对所有受影响型号的固件更新已发布：Mk2和Mk3为4.2.0版，Mk4和Mk5为5.6.0版，Coldcard Q为1.5.0Q版，Edge版本为6.6.0X和6.6.0QX。据该公司称，安装更新固件只能修复未来钱包创建，不会增强补丁之前生成的助记词强度。因此，受公告影响的用户被指示在更新设备后生成全新的助记词，验证接收地址，发送小额测试交易，并在确认转账成功后迁移剩余余额。
Coinkite表示，使用至少50次公平、私密的骰子投掷创建的钱包，不认为仅因随机数生成漏洞而暴露。该公司补充称，强大且唯一的BIP-39密码短语提供了另一层保护，但无法消除已受影响种子中的弱点，因此迁移仍是推荐的做法。
持续攻击扩大已知损失
Galaxy Research的独立区块链分析显示，自漏洞公开以来，攻击仍在继续。Galaxy研究主管Alex Thorn在8月3日发现疑似第四波协调攻击，若各地址组无重叠，则该公司观察到的总损失约为1815.75枚比特币，涉及5294个潜在受害地址。Thorn将这些钱包描述为“可能是Coldcard受害者”，并强调这些数字来自区块链分析，而非确认的设备记录或执法部门调查结果。
Galaxy还报告称，在最新一波攻击中，攻击活动达到每区块13.8次钱包扫描，而事件前基线为0.3次。该公司观察到，大多数受害者余额被发送至新创建的地址，而非单一收集钱包，部分资金已通过二次交易转移，使得被盗比特币更难追踪。据Galaxy称，若用户被盗资金仍处于未确认的比特币交易中，他们可能还有机会在矿工确认原始转账之前，广播一笔更高手续费的替换交易。该研究公司引用比特币核心文档指出，替换手续费仅在交易未确认时才能尝试，即便合法所有者仍控制受影响的密钥，也无法保证能够追回。
