Coldcard 駭客入侵揭露長期隱藏的種子（seed）隨機性缺陷

據報道，Coldcard 事件的駭入行為盜走了近 1.14 億美元的 BTC，涉及 709+ 個地址。固件缺陷據稱導致錢包種子（wallet seeds）的隨機性遠低於承諾程度。第一次 sweep 據說在 25 分鐘內清空了約 500 個錢包。 該問題據稱在 2021 年 3 月被納入 Coldcard 的程式碼庫，且即使公開可取得原始碼，仍然在五年以上期間保持可見。較後續的文章加入更廣泛的「信任落差（trust gaps）」觀點：文章認為失敗是由流程與激勵所形塑，包括授權（licensing）變更，以及在同一個 2021 年 3 月提交（commit）中引入的、與種子生成相關的斷點。 文章也回顧研究者的反彈（pushback）。與 Shift Crypto 和 Nunchuk（2020 年 8 月）相關的披露曾遭到懷疑；而後來嘗試重現較早期問題的行動則引發敵意，甚至出現法律威脅。對交易者而言，擔憂很實際：固件更新未必能修復已在弱點版本上生成種子所造成的損害，因此需要遷移（migration）並手動轉移資金。 事件之後，流向交易所的資金據報再次轉正（OKX 指出出現創紀錄的流入），同時現貨 BTC ETF 的需求也大幅上升（例如 IBIT/FBTC）。對交易者來說，Coldcard 駭入可能會圍繞 BTC 托管（custody）與錢包安全敘事在短期內帶來波動；至於長期市場影響則取決於更快的安全審查，以及文件與媒體中更清晰的指引。 Coldcard 事件的教訓：把單一裝置的自我託管（self-custody）視為更高風險，並在「緊急」固件更新之後仍優先採用經驗證的流程（可追溯的審計紀錄、遷移，以及更安全的多重簽名 multi-sig 做法）。