Coldcard 錢包在涉逾1億美元比特幣失竊事件後更新韌體：新建種子須加入用戶熵值

Coinkite 為旗下 Coldcard 硬件錢包推出韌體 5.6.1。新版本要求用戶在裝置每次建立新 seed（助記種子）時，必須自行提供熵值（隨機性輸入）。以往 Coldcard 產生 seed 主要依賴錢包內置隨機數生成器。 是次調整緊接市場就 seed 相關漏洞的報道，事件被指與一宗重大比特幣被盜個案有關。CryptoPotato 估算損失約 1 億美元；The Cryptonomist EN 則報稱為 1.12 億美元。兩個數字描述同一宗事件，但最終損失金額各家說法未有一致。 Seed 生成是自託管錢包安全的基礎。一般由 12 或 24 個單詞組成的助記詞，實際上對應控制資金的私鑰。若生成 seed 的隨機性可被預測、強度不足或遭到破壞，理論上攻擊者可重建私鑰並轉走資金。這正是目前外界關注的核心風險。 要求用戶提供熵值屬安全研究人員長期建議的緩解做法，常見方式包括擲骰子、以相機拍攝取得隨機輸入等人手來源。該輸入會與裝置內部隨機性結合，而非完全取代；目的在於降低對單一隨機來源的依賴，避免因韌體缺陷或供應鏈受干預而出現系統性風險。 硬件錢包主打私鑰不離開裝置，被視為較交易所託管更安全。這種安全承諾在很大程度上取決於初始化時的隨機數與 seed 生成流程是否可靠；一旦該環節有缺陷，即使其後私鑰保護機制完善，冷存儲的核心價值亦會被削弱。 從加密資安事件的脈絡看，市場更常見的是交易所被黑或智能合約漏洞。硬件錢包或密鑰生成流程的問題較少見，但一旦發生，可能更具破壞性，因為它或會在用戶以為資金完全安全的情況下，悄然暴露風險。 報道指，曾於受影響韌體版本上生成 seed 的用戶，或需參考 Coinkite 指引，評估是否需要遷移至新生成的 seed。現有報道未直接引述 Coinkite 就漏洞技術根因的說法，但這次韌體改動本身反映公司認為原有熵值機制單靠內部隨機性並不足夠；要求用戶輸入被視作針對相關攻擊報告的直接回應。 市場影響方面，短期衝擊料主要集中於 Coldcard 用戶及自託管市場的硬件錢包領域。外界對 seed 生成流程的再度審視，或促使其他硬件錢包廠商檢討或強化自家熵值實作。對更廣泛的加密市場而言，事件再次凸顯託管風險的爭議，機構及散戶在自託管與交易所持幣之間作選擇時，或會將此事件納入風險評估。現階段未見有報道把價格或交易數據與事件直接連繫，整體市場反應仍未獲確認。 綜合而言，Coldcard 今次更新屬針對「seed 隨機性」疑慮的應對措施，而相關失竊規模在不同媒體仍有出入。Coldcard 用戶宜盡快更新至 5.6.1，並查閱 Coinkite 官方就 seed 處理與是否需要重新生成的後續指引。 常見問題 什麼是 Coldcard？ Coldcard 是 Coinkite 推出的硬件錢包，主力離線保存比特幣私鑰，供用戶自託管。 文中所指的「用戶熵值」是什麼？ 即由用戶手動提供的隨機輸入，例如擲骰結果或相機輸入，會與裝置內部隨機性結合，用於生成新 seed。 涉事失竊金額是多少？ 各方報道不一：CryptoPotato 指約 1 億美元；The Cryptonomist EN 指 1.12 億美元。 現有 Coldcard 用戶需要做什麼？ 曾於更新前生成 seed 的用戶可先參考 Coinkite 官方指引，判斷是否建議重新生成 seed 或遷移資金。 原文由 AltcoinGordon 首發，Grace Mitchell 撰寫，經授權轉載。