Coldcard 韌體漏洞：RNG 種子缺陷引發約 1.12 億 BTC 竊取案

Coldcard 韌體漏洞升級後，自我託管（self-custody）擔憂進一步加深。調查人員將攻擊連結到 seed-phrase 的 RNG（隨機數生成）缺陷。較後的報告指出，第一波攻擊於 2026 年 7 月 30 日展開：41 分鐘內約 1,083 BTC 從 1,000+ 個地址被掏空，之後又出現更多盜竊攻擊波次。 這不是比特幣區塊鏈被突破。相反地，Coldcard 韌體漏洞與用於產生 mnemonic seed phrases 的隨機數生成有關。若 seed 生成變得可預測，攻擊者可縮小可能 seed 的範圍，進而推導私鑰，並清空受影響的錢包。 據報告顯示，損失在 8 月中旬前仍持續增加；被引用的總盜竊金額約為 1.12 億美元（約數億美元規模），跨越數千個地址。根本原因可追溯至 Coinkite 於 2021 年發布的一次韌體更新；先前的報告也提到熵（entropy）回歸。 關鍵在於：升級韌體可能無法保護那些已用先前生成 seed 所保障的資金。Coinkite 的建議強調需更新到韌體 4.2.0+ 並重新生成 seed phrases，使用者可能需要轉移資金。公司也建議使用更強的 BIP-39 passphrase 作為額外防護層，並表示已開始銷毀剩餘的易受影響存貨。 對交易者而言，市場重點是風險管理：針對地址層級持倉的事件可能迅速改變市場情緒。可望看到對操作衛生（operational hygiene）的重新關注，並可能採用多重簽名（multi-signature）以降低單一裝置遭入侵的風險。