Coldcard 竊案損失恐逾 1.5 億美元：2021 亂數漏洞釀禍

一個潛伏五年的漏洞，正演變成硬體錢包史上代價高昂的竊案之一。根據 Decrypt 報導，引述 Galaxy Research，針對比特幣硬體錢包 Coldcard 的盜領雖已趨緩，但總損失恐上看 1.5 億美元。

已確認被盜 1,778 枚 BTC，恐擴至 2,417 枚

Galaxy 追蹤，目前已確認被盜 1,778 枚比特幣（約 1.12 億美元）；若計入尚未確認的第四波，總量恐達 2,417 枚（約 1.513 億美元），超過 5,200 個地址被清空，已有 190 多名受害者被聯繫。攻擊自 7 月 30 日清晨展開，最後一次確認的攻擊者活動落在 8 月 6 日；Galaxy 認為攻擊放緩，可能是脆弱的用戶多已遷移，或大部分資金早已被搬空。

根源是 2021 年的一次韌體改動

問題出在 2021 年的一次韌體更新：它把種子的產生方式，從硬體亂數產生器改為軟體，讓熵（entropy）從 128 位元一路降到最低僅 40 位元。這使得攻擊者只需要裝置的序號與時脈狀態，就能重建種子，無須實體接觸或釣魚，就能盜走資產。鏈新聞先前也拆解過這個 2021 年建置錯誤的根源。Galaxy 建議，使用單一簽名 Coldcard 的用戶，應立即把資金移轉到新的地址。