Coldcard 韌體漏洞：RNG 種子缺陷引發約 1.12 億 BTC 竊取案

Coldcard 韌體漏洞升級後，自我託管（self-custody）疑慮加劇。調查人員將攻擊連結到 seed-phrase 的 RNG（隨機數生成）缺陷。較後的報告稱，第一波攻擊於 2026 年 7 月 30 日展開：41 分鐘內約 1,083 BTC 從 1,000+ 個地址被抽走，隨後又出現多輪盜竊攻擊。 這不是比特幣區塊鏈被破解。相反，Coldcard 韌體漏洞與用於產生 mnemonic seed phrases 的隨機數生成有關。若 seed 生成變得可預測，攻擊者可縮小可能的 seed 範圍，進而推導私鑰，並清空受影響的錢包。 據報損失在 8 月中旬前仍持續擴大，總盜竊金額被引述約為 1.12 億美元（約數億美元規模），涉及數千個地址。根因可追溯到 Coinkite 於 2021 年釋出的韌體更新；早先報告也提到熵（entropy）回歸問題。 關鍵在於：升級韌體可能無法保護那些已用先前生成的 seed 所保全的資金。Coinkite 的指引強調需更新到韌體 4.2.0+ 並重新生成 seed phrases，使用者可能需要轉移資金。公司亦建議使用更強的 BIP-39 passphrase 作為額外保護層，並表示已開始銷毀剩餘的易受攻擊存貨。 對交易者而言，市場啟示在於風險管理：針對地址層級持倉的事件可能迅速改變市場情緒。預期會重新關注作業衛生（operational hygiene），並可能採用多重簽名（multi-signature）以降低單一裝置被攻破的風險。