Coldcard 種子漏洞內幕：隨機生成器接錯線，1596 枚比特幣遭竊破億

Block 揭露 Coldcard 種子漏洞完整內幕：漏洞不在錢包硬體，而在種子助記詞的隨機性生成。2021 年 3 月發布的韌體 4.0.0 因亂數產生器「接錯線」，讓 Mk2/Mk3 完全沒有安全隨機性、Mk4/Q/Mk5 也只剩 72 位元熵值（設計目標 128 位元），潛伏多年後被約 15 組攻擊者從 7,300 個地址竊走逾 1,596 枚比特幣（約 1 億美元），且全程不需實體碰觸裝置。
（前情提要：Coldcard 冷錢包受害者淚訴：四年來每週定存比特幣，一夜歸零求助無門）
（背景補充：Coldcard 漏洞引起恐慌，12 萬枚 BTC 轉移錢包地址！但只有一成進交易所）

本文目錄

冷錢包的核心賣點，是「私鑰永不離開晶片」，不連網，理論上唯一的入侵途徑就是實體碰觸裝置。加拿大創業家 Jonathan Goodman 照著這套規則做了最徹底的防護：存放私鑰的 Coldcard 從未連網、鎖在銀行保險箱，種子助記詞更放在第二個保險箱、從未與任何人分享。但 7 月 29 日，他每個錢包仍被一掃而空。Goodman 表示自己損失了 18.25 枚比特幣，以當時幣價計超過 117 萬美元。「也許最難受的是，我做對了所有事。」他在 8 月 1 日的 X 貼文中如此寫道。

Goodman 的損失只是冰山一角。Galaxy Research 表示，它有高度信心認為約有 1,596 枚比特幣，價值逾 1 億美元，從約 7,300 個地址在連串攻擊中被竊走；其研究主管 Alex Thorn 在 8 月 4 日估計，至少 15 組不同攻擊者利用了這個漏洞，而且沒有任何一組需要實體碰觸裝置。

漏洞不在錢包本身：種子隨機性「接錯線」

這起事件的關鍵，在於漏洞並非出在硬體錢包本身，而是保護使用者資金的種子助記詞（seed phrase）是如何被生成的。比特幣錢包的「隨機性」（entropy）至關重要，新錢包要從天文數字般的候選值中挑選種子，不可預測性越高，駭客越難猜中；每多一位元，可能的組合就翻一倍。

Coldcard 原本應從裝置內建的硬體亂數產生器取得隨機性，但一個組態錯誤，讓錢包改用較簡單的軟體產生器，後者依賴裝置與時間戳等資訊。這些資訊並非完全隨機、可被縮小範圍或重現，劇烈縮減了攻擊者需要暴力測試的種子數量。簡單說，Coldcard 的程式碼本該讓每個錢包從多到窮盡全宇宙電腦也算不完的候選池中挑選種子，結果一個「接線」錯誤把它導向更小、更弱的來源。

Block 指出，受影響的 Mk2 與 Mk3 裝置在此流程中完全沒有獲得安全隨機性；Mk4、Q 與 Mk5 雖有取得一些，軟體卻只保留其中一小部分。Coinkite 估計，這些較新裝置產出的種子只有 72 位元隨機性，而非設計上的 128 位元，等於把可能的種子組合縮減到原先的 2 的 56 次方分之一以下。

潛伏五年：2021 年韌體 4.0.0 埋下種子

種子生成的缺陷，是在 2021 年一次大改版時進入 Coldcard 的，一藏就是好幾年。Coinkite 對韌體 4.0.0 的描述是「All New Code, Same Great Features」（全新程式碼、同樣優異功能），發布時間為 2021 年 3 月 17 日，並在致謝名單中感謝一個名為「switck」的帳號提供了「新的原始碼函式庫」。

比特幣開發者 James O’Beirne 在審計中把「switck」指認為 Coinkite 共同創辦人 Peter Gray，他在比對 58 處以該帳號發布的程式碼變更後，發現這些變更帶有 Gray 以本名發布變更時所使用的同一組密碼學簽名。switck 開發了 libngu，這套可重用程式碼被整合進使用者裝置上的 Coldcard 韌體，其中一項工作就是協助產生建立錢包時所需的隨機性。O’Beirne 說他 2025 年 5 月審計時就質疑過這套流程，並向 Coinkite 提出可能存在缺陷，對方卻回覆「如果真有問題，大概早就被發現了」。

Coinkite 表示，事發前它自做的 AI 輔助審查也漏掉了這個錯誤；事件後用多個主流 AI 模型測試，同樣未能揪出。公司承諾發布更完整的失敗說明，也已對所有受影響型號與發行軌道發布修正韌體，但修正只修復「未來的」種子生成，無法強化已經用有漏洞軟體產生出來的種子。受影響使用者必須安裝修正韌體、重新生成新種子，再把比特幣遷移到新地址。

一種不同形態的交易對手風險

Coldcard 的立身哲學，是讓比特幣持有者甩開託管機構、把需要信任的物件降到最少。這起事件並未讓誰重拾對交易所或銀行的信任，而是揭露：自我託管只是把「信任」換成另一種依賴，使用者握著私鑰，但錢包製造商仍決定這些私鑰是否被「安全地」生成。Goodman 價值約百萬美元的比特幣躺在保險箱、鎖在從未連網的裝置裡，卻因種子生成軟體的缺陷，他對實體層的防護形同虛設。

市場影響與後續觀察

對硬體錢包產業而言，這起事件把「供應鏈信任」從冷錢包的加密區塊，往前推到「韌體與隨機數生成」這條更底層的環節。當多達 15 組攻擊者能在無需碰觸裝置的情況下批次抽乾地址，代表審計重點必須從「裝置是否夠安全」，延伸為「種子從產生到使用的整條鏈路是否可信」。O’Beirne 找到的 58 處相同簽名變更，也再次凸顯「don’t trust, verify」在開源韌體上說易行難，原始碼公開不等於真的有人把整條生成流程從頭到尾驗完。後續有兩個觀察點：其一，Coinkite 承諾的更完整技術報告，是否揭露還有其他型號或發行軌受影響；其二，這波由審計與 AI 輔助掃描推升的「冷錢包信任重建」浪潮，是否會推動更多錢包商把種子生成的隨機性來源做成可外部驗證的透明標準。