Coldcard黑客暴露长期隐藏的种子随机性缺陷

据报道，Coldcard hack 从709+个地址中盗走近1.14亿美元的BTC。固件缺陷导致钱包种子生成的随机性远低于承诺。首轮扫货据称在25分钟内清空约500个钱包。 该问题在2021年3月进入 Coldcard 代码库，并据称在5年以上时间里仍可被公众审阅。后续文章补充了“信任缺口”的视角：作者认为失效并非单一错误，而是被流程与激励机制所塑造，包括许可变更，以及与种子生成失真相关的破坏在同一笔2021年3月提交中出现。 文章还回顾了研究者遭遇的阻力。与 Shift Crypto、Nunchuk（2020年8月披露）相关的内容曾遭到公开质疑；在复现旧版本问题时，研究团队还遭遇指责，甚至提到法律行动。对交易者而言，这一点更偏“可操作性”：固件更新未必能修复在脆弱版本上已生成的种子，因此迁移与手动转移资金步骤至关重要。 事故后，资金流向似乎出现修复迹象：据称BTC净流向交易所重新转正（OKX提到创纪录的入金），同时现货BTC ETF需求走强（如IBIT/FBTC）。从交易角度看，Coldcard hack 可能在短期内因“BTC托管与钱包安全”叙事而带来波动；中长期影响取决于行业能否更快完成安全审计，以及文档与媒体指引是否及时纠正。 Coldcard hack 核心启示：即便有“紧急”固件更新，也要把单一设备自托管视为更高风险，并坚持经过验证的流程（迁移与审计留痕），同时优先采用更稳健的多签做法。