# 漏洞的所有文章

在 HTX 新闻中心浏览与「漏洞」相关的最新资讯与深度分析。潘盖市场趋势、项目动态、技术进展及监管政策，提供权威的加密行业洞察。

通过掷骰子离线保管比特币密钥：并非人人愿意为之

文章探讨了通过投掷骰子生成比特币钱包种子短语的安全方法及其现实挑战。核心观点如下： **1. 骰子提供物理熵源** 骰子结果由众多微小变量决定，理论上虽可预测，但实践中无法被攻击者复制或计算，从而提供高质量的随机性。每个六面骰子投掷约产生2.585比特熵，50次投掷即可满足典型12词助记词（128比特熵）的安全需求。 **2. Coldcard漏洞事件凸显手工熵源的价值** 近期Coldcard硬件钱包因固件漏洞导致其内部随机数生成器存在缺陷，致使约1128枚比特币被盗。但那些**完全**通过足量骰子投掷生成种子短语的用户未受此漏洞影响，因为他们的主密钥未使用有缺陷的生成器。 **3. 重要警示：手工种子并非万能保护** 安全研究员指出，即使用户使用骰子生成了安全的种子，若他们使用了Coldcard的其他功能（如生成纸钱包、克隆密钥、共享签名密钥、密码等），这些**衍生密钥**仍可能调用有漏洞的随机数生成器，从而存在风险。安全种子不保证设备生成的所有秘密都安全。 **4. 手工生成熵源的现实局限性** 尽管数学上可靠，但该方法对大多数用户并不友好： * **过程繁琐易错**：需投掷50-99次，精确记录，任何输入错误都会导致钱包完全不同。 * **引入新风险**：用户可能在记录、转换过程中泄露信息，或使用有偏的骰子/投掷方式。 * **用户体验差**：难以想象大规模推广需要用户手动投掷近百次骰子。安全措施需适应现实生活场景和普通用户的知识水平。 **5. 给用户的建议** 受影响的Coldcard用户应： * 更新固件至最新版。 * 检查是否使用过有漏洞的功能生成了次级密钥或密码，如有则需立即更换。 * 考虑采用多签方案，使用不同厂商的设备分散风险。 **结论**：手工投掷骰子生成熵源是技术娴熟用户的一个有效安全选项，但其过程复杂、容易出错，不适合作为主流用户的默认方法。长远目标是依赖安全、透明且无需专业知识的硬件/软件随机数生成方案。

cryptonews.ru08/01 21:37

cryptonews.ru08/01 21:37

是人工智能帮助发现了Coldcard系统中的安全漏洞吗？

2026年7月30日，黑客在大约25分钟内从约500个比特币单签名地址转移了约594 BTC（当时价值约3800万美元）。后续分析显示，受影响地址可能超过1000个，损失总额估计约1128.5 BTC（当时约7110万美元）。这些地址的共同点是其助记词种子均由加拿大公司Coinkite生产的Coldcard硬件钱包生成。调查发现，漏洞源于Coinkite在2021年3月发布固件版本4.0.1时引入的一个配置错误。该错误导致部分Coldcard设备（主要是Mk3，也包括部分Mk4、Mk5和Q型号）在生成种子时，使用了弱随机数生成器，导致熵（随机性）严重不足。受影响最严重的设备种子有效随机性可能仅为40比特，而非预期的128比特，使得攻击者有可能通过暴力破解离线推导出私钥。此配置错误持续存在了五年之久，直到此次大规模盗窃事件发生后才被发现。Coinkite CEO公开道歉并发布了紧急固件更新。但更新无法增强已生成的弱种子，受影响的用户必须使用修复后的固件或安全设备生成全新种子并转移资金。关于漏洞如何被发现，Coinkite提出了一种引人注目的推测：攻击者可能利用人工智能分析了其公开多年的固件代码，从而找到了这个弱点。该公司警告，在AI时代，公开代码面临前所未有的自动化分析风险。事后，也有独立研究者证实可用AI模型复现该漏洞。然而，一些安全专家批评这一说法可能转移了对基础工程失误的注意力，认为传统代码审查本应更早发现问题。此次事件暴露了开源安全模型的局限性，并促使硬件钱包行业反思，需结合人工专家和AI工具，加强对熵生成、构建配置和旧代码的持续审计。对于Coldcard用户，当务之急是核查种子生成方式，并通过官方渠道获取指引，以安全迁移资产。

cryptonews.ru08/01 19:13

cryptonews.ru08/01 19:13

Coldcard漏洞加剧市场担忧，比特币即将迎来两次分叉

全球主要加密货币比特币在8月初延续疲软走势，价格在62,300至63,100美元区间波动，较7月高点回落，几乎抹去当月涨幅。市场情绪受多重因素压制。首先，硬件钱包Coldcard曝出安全事件。攻击者利用一个长期存在的固件漏洞，从超1100个钱包中盗取了约1128.6枚比特币，凸显了自托管风险。厂商已发布修复固件，但建议受影响用户生成全新种子短语并转移资产。其次，资金持续从比特币现货ETF流出。仅7月31日单日净流出约2.65亿美元，包括贝莱德、富达等主要产品均呈现净赎回，削弱了重要的机构需求支撑。八月市场关注两大分叉事件：一是计划于8月7日开始信号支持的BIP-110软分叉提议，旨在限制区块链中嵌入非金融数据，但其支持率尚低且可能引发链分裂风险；二是定于8月21日进行的eCash硬分叉，该分叉将基于比特币账本创建一条新链，并向符合条件的比特币持有者空投新资产，其获得交易所支持的情况尚不确定。季节性因素亦不利，八月历来是比特币表现艰难的月份。当前加密货币恐惧与贪婪指数处于“恐惧”区域，加之全球避险情绪升温，进一步抑制了风险资产偏好。不过，衍生品市场未出现剧烈波动，表明当前抛压主要来自平仓而非高杠杆的新空头。技术面上，交易员关注能否收复64,000至65,000美元阻力区。若跌破62,000美元，则可能下探58,000至60,000美元的需求区域。未来几周，市场将密切跟踪BIP-110的矿工信号、eCash分叉的交易所动态以及ETF资金流能否转正。

cryptonews.ru08/01 19:07

cryptonews.ru08/01 19:07

Galaxy分析后，Coldcard比特币损失预估增至7000万美元

银河数字研究部门确认，与Coldcard钱包漏洞事件相关的1196个地址损失了约1082.65枚比特币，当时价值约7020万美元。交易发生在7月30日UTC时间凌晨，约在Coldcard发布安全预警前30小时。此前初步分析估计损失为594.48枚比特币（约3800万美元）。银河研究指出，这些交易具有共同模式，如相同手续费且无找零输出，但后续攻击可能改变模式。Coinkite联合创始人承认固件漏洞责任，已发布修复程序，但提醒在受影响固件上生成种子的用户应将资金转移至新种子。

cointelegraph08/01 09:31

cointelegraph08/01 09:31

比特币用户注意！今天的黑客攻击规模可能比您想象的更大。以下是您需要采取的措施

比特币硬件钱包制造商Coinkite宣布，在其Coldcard Mk3设备（固件版本4.0.1至5.0.3）中发现一个关键安全漏洞，可能影响设备生成的种子短语安全。该公司建议可能受影响的用户立即将资金转移到新的、更安全的钱包。此次警告发布之际，针对数百个单签名比特币钱包的大规模攻击调查正在进行。最初报告被盗约594 BTC，但Galaxy Research的更广泛分析表明，共有1196个钱包被清空，涉及约1082.65 BTC（当时价值约7020万美元）。所有交易均在7月30日的41分钟内完成，且具有相同的交易费结构，暗示攻击可能使用了自动工具扫描已泄露的私钥。值得注意的是，此次攻击发生在Coinkite公开披露Coldcard Mk3漏洞之前约30小时。安全专家建议，曾在受影响的Coldcard Mk3设备上创建种子短语的用户，不应再视该旧种子为安全。用户应在可靠的新硬件钱包上生成全新的种子短语，并将所有资金转移至新地址。仅更换设备是不够的，切勿将旧种子导入新钱包。

cryptonews.ru07/31 22:01

cryptonews.ru07/31 22:01

Coldcard发布Mk3警告，专家调查3800万美元比特币钱包被盗事件

加拿大比特币硬件制造商Coinkite警告其Coldcard Mk3签名设备用户，将资金从受影响的固件版本生成的种子短语钱包中移出。受影响的固件范围包括2021年3月发布的4.0.1版至Mk3最终支持的5.0.3版，而Mk4、Q和Mk5型号不受影响。公司建议受影响用户使用未受影响的设备生成新种子，并进行测试转账后再转移剩余资金。此次警告源于比特币安全专家正在调查一起涉及594.48 BTC（价值约3830万美元）从单签名地址被协调转出的异常事件。尽管有Reddit用户自称其资金从2021年5月购买的Coldcard Mk3生成的种子钱包中被盗，但尚未有公开证据确定该事件与Mk3问题直接相关。专家初步分析指出，所有涉及地址均为单签名，且资金转移集中在三个区块内完成，疑似钱包生成过程中存在熵源缺陷。有推测认为，攻击者可能利用低熵随机数生成器漏洞，通过AI生成的脚本对受影响钱包进行暴力破解，但当前扫描范围可能仅限于部分BIP-84派生路径。若此推测成立，部分被盗钱包可能仍面临进一步资金损失的风险。 Coinkite强调，使用BIP-39密码短语的受影响种子风险较低，并承诺将继续进行正式技术审查。

cointelegraph07/31 13:42

cointelegraph07/31 13:42

Coinkite 在报道价值3800万美元比特币丢失事件后，向Coldcard Mk3持有者发出警告

2026年7月30日，约500个长期未活动的比特币地址在25分钟内协同转出了总计约594 BTC（价值3800万美元）。这些地址余额多在0.15至0.26 BTC之间，引发了安全担忧。硬件钱包制造商Coinkite（Coldcard生产商）就此发布安全警告。其CEO表示公司正全力调查，并将发布技术报告。初步分析指出，问题可能影响在特定固件版本（2021年3月的v4.0.1至最终支持Mk3的v5.0.3）期间生成种子的Coldcard Mk3设备，而Mk4、Q和Mk5型号不受影响。社区推测原因可能与旧版Mk2/Mk3固件的随机数生成器有关，但官方尚未确认根本原因。 Coinkite建议用户采取以下措施：使用了BIP-39密码短语的用户风险较低，应继续保护好密码。未使用密码的Mk3用户应将资金转移至由未受影响设备生成的新种子钱包，并强调转移前应进行小额测试、核对地址并保留旧备份。对于只有Mk3的用户，临时方案包括设置一个强BIP-39密码来创建新钱包，或通过设备上复杂的“掷骰子”方式生成独立于内置随机数生成器的种子。调查仍在进行，更多细节将后续公布。此事引起了比特币社区的广泛关注。

cryptonews.ru07/31 05:16

Coinkite 在报道价值3800万美元比特币丢失事件后，向Coldcard Mk3持有者发出警告

cryptonews.ru07/31 05:16

OpenAI，开源了

OpenAI近日开源了其代码安全工具Codex Security CLI，这是一个结合了CLI和TypeScript SDK的自动化安全解决方案，能够扫描代码库以发现、验证并修复漏洞。该工具脱胎于2025年的Aardvark项目，于今年3月以研究预览版形式上线，定位为“应用安全智能体”。其工作流程包括：理解代码库生成威胁模型、基于上下文发现并分级漏洞、以及在沙箱中验证漏洞。据称，上线初期便在超过120万次提交中发现了数百个严重漏洞。然而，首批试用者反馈了成本过高和效率问题。有开发者反映，扫描一个仓库耗时近一小时却因代码变动而失败，同时消耗了大量API额度。问题根源在于工具默认使用高端模型GPT-5.6-sol，且将推理强度设为最高，导致调用费用昂贵。此次开源被视为对英伟达CEO黄仁勋近期支持开源AI表态的回应。但分析指出，OpenAI此次主要开源了应用层工具，其核心模型仍保持闭源。尽管如此，Codex Security的开源标志着AI智能体深入代码安全领域的开始，其后续发展将依赖开发者社区的改进与创新。

marsbit07/30 07:42

marsbit07/30 07:42

比特币慌了？Mythos 60小时撬开后量子密码算法

近日，Anthropic发布的Claude Mythos Preview模型在密码分析领域取得两项突破性进展。首先，模型在60小时内对NIST后量子签名候选方案HAWK发起攻击，利用其格结构中的“非平凡自同构”对称性，将HAWK-256的有效密钥强度降低约4.4万亿倍（从2^64降至约2^38），这动摇了该方案作为轻量级后量子签名的核心优势。整个发现过程由多个AI智能体协作完成，人类操作者仅提供项目管理支持。其次，模型针对简化的7轮AES-128，自主提出了一种名为“莫比乌斯之桥”的新型攻击方法，将此前最优的“中间相遇攻击”效率提升了200至800倍。值得注意的是，初始阶段模型认为任务“不可能”完成，但在研究人员简单提示后，它自行重写了分析框架并最终取得突破。这项发现耗时约一周，而人类研究员花费近一个月才完成验证。这两项成果目前均未影响实际部署的系统（HAWK仅为候选，完整AES-128未被攻破），但其展现的能力已引发广泛关注。AI在短时间内自主发现并论证复杂的数学级漏洞，标志着密码分析领域的范式可能正在转变——发现的瓶颈或将被打破，而人类验证能力将面临更大挑战。文章最后提出了一个紧迫问题：若未来AI发现的是正在保护现实世界的加密系统的致命缺陷，人类应如何应对？

marsbit07/29 11:41

marsbit07/29 11:41

Triple-A确认金库钱包遭入侵，损失达1180万美元

稳定币支付公司Triple-A确认其资金库钱包遭未授权访问，导致公司持有的数字资产受损。周一，这家新加坡公司表示在周六发现未授权访问，并暂时将部分服务置入维护模式约三小时，以保护受影响的基础设施。Triple-A强调客户资金未受影响，因其不为客户托管数字资产，而是将客户资金单独存放在托管机构的信托账户中。公司未披露具体损失金额或钱包如何被攻破。链上调查机构Specter此前估计损失约为1180万美元。Triple-A称财务影响仅限于特定运营账户，并将通过其资金储备承担损失。所有服务现已恢复，交易和结算正常处理。目前，Triple-A正与网络安全专家、区块链取证公司及新加坡警方等当局合作，调查事件、追踪资产并支持追回工作。

cointelegraph07/27 13:50