Coldcard 固件漏洞：RNG 助记词缺陷引发约112M美元BTC被盗

围绕“Coldcard 固件漏洞（Coldcard firmware vulnerability）”的自我托管担忧进一步升温。较新报道称，调查人员将攻击与助记词（seed phrase）RNG 随机数缺陷联系在一起：首波攻击于 2026 年 7 月 30 日启动，41 分钟内从 1,000+ 个地址转走约 1,083 BTC，随后又出现多轮盗窃。 这并非比特币区块链被攻破。Coldcard 固件漏洞与用于生成助记词的随机数生成（RNG）机制问题有关；若种子生成可被预测，攻击者可缩小种子范围，进而推导私钥并清空受影响钱包。 据称损失在 8 月中旬仍持续扩大，累计被盗金额被提到约 1.12 亿美元（规模在数亿美元级别），受影响地址覆盖上千个。根因追溯到 Coinkite 在 2021 年发布的某次固件更新；早期报道还指出存在熵值回归问题。 关键在于：仅升级固件未必能保护先前使用受影响固件生成的种子。Coinkite 的建议包括升级到 4.2.0+ 并重新生成种子短语；用户也可能需要按厂商安全指引迁移资金。公司同时建议使用更强的 BIP-39 passphrase 作为额外保护，并称已开始销毁剩余的脆弱库存。 对交易者而言，核心仍是风险管理：此类直接打击“地址级持仓”的事件可能迅速影响市场情绪。预计用户会更加重视操作安全（seed hygiene），并可能进一步推动多签（multi-sig）等方案，以降低单一设备失陷带来的风险。