# 漏洞的所有文章

在 HTX 新聞中心流覽與「漏洞」相關的最新資訊與深度分析。潘蓋市場趨勢、專案動態、技術進展及監管政策，提供權威的加密行業洞察。

Ledger就Coldcard遭黑客攻击事件警告人工智能风险

莱杰公司（Ledger）首席技术官夏尔·吉耶梅针对Coldcard硬件钱包被黑事件发出警告，指出该事件暴露了比特币存储设备中随机数生成器验证的漏洞。他强调，开源代码并不等同于经过审计的代码，此次漏洞在公开代码库中存在超过五年却未被发现。莱杰的设备采用安全元件中的硬件随机数生成器，避免了Coldcard中因软件备用路径导致的问题。事件引发了关于人工智能在代码分析中作用的讨论。吉耶梅表示，AI工具能加速漏洞发现，但尚无公开证据表明攻击者实际使用了AI。然而，有用户在Reddit和X平台声称，Claude Code仅用8分钟就通过单次提示发现了该漏洞。风投基金Dragonfly管理合伙人哈希布·库雷希此前称，仅需2美元用AI进行代码审计即可预防此次攻击。据Galaxy Research数据，至少15名攻击者利用了该漏洞，已确认的三波攻击造成约1亿美元损失，若包括可能的第四波，总损失可能达1.3亿美元。此外，Trezor和Foundation等硬件钱包厂商已就事件相关的钓鱼攻击发出警告，提醒用户防范冒充官方的“硬件审计”欺诈。

cryptonews.ru4 小時前

cryptonews.ru4 小時前

Coldcard公司呼吁用户转移比特币，因漏洞仍在被利用

硬件钱包制造商Coldcard敦促用户立即转移比特币，因其钱包固件中存在一个自2021年潜伏的漏洞，目前仍在被持续利用。据最新数据，已发生第四波欺诈交易，导致约449个BTC从709个地址被盗，累计损失从约8900万美元上升至约1.14亿美元。该公司呼吁用户将此事视为紧急事务，尽快转移资金，并特别提醒不常联网的用户。漏洞影响特定设备和固件版本：使用固件4.0.1或更高版本的Mk3型号用户需立即转移资产；Mk4、Mk5和Q型号用户若固件低于5.6.0或1.5.0Q，则应更新固件、创建新钱包再转移资产。唯一例外是通过设备“掷骰子”功能（手动掷骰至少50次生成密钥）创建的钱包，因其未接触受影响代码。漏洞根源在于单密钥控制且无需二次确认的场景下，若种子短语的随机性（熵）不足，可能被攻击者猜中并远程盗取资金。网络安全专家指出，安全的熵生成必须基于可靠硬件。此次事件引发对硬件钱包安全性的关注，但专家同时警告，软件钱包或将资产存放在中心化交易所风险可能更高。消息公布后，比特币价格稳定在约63,800美元。

cryptonews.ru5 小時前

cryptonews.ru5 小時前

Coldcard钱包漏洞成为加拿大持卡人的噩梦

Coldcard钱包漏洞对加拿大用户影响最为严重，其损失占加拿大用户总损失的25%。Chainalysis分析指出，这主要是因为该钱包在加拿大地区非常流行，得益于当地比特币的早期采纳以及有影响力的博主推动比特币极端主义，导致这款熵不足、地址生成存在漏洞的钱包被广泛使用。除加拿大人外，美国和泰国用户也遭受了重大损失。据估计，此次黑客攻击造成的总损失在1.1亿至1.5亿美元之间。攻击涉及超过5200个地址，被盗比特币超过1816枚。此次事件引发了比特币生态系统中最大规模的漏洞排查行动之一，“红队”计划正利用人工智能分析来识别类似漏洞，并已扫描了150个代码库。安全专家警告，此次攻击可能涉及多达15个不同的恶意实体。攻击是分阶段进行的，初期规模最大。尽管大部分被盗资金仍停留在接收地址，尚未像其他典型攻击那样迅速被混币，但已有部分资金开始通过交易进行初步混合。研究人员强烈建议所有Coldcard用户不仅更新固件，还应生成新的安全助记词种子，并将资金转移至新钱包，同时设置较高的交易手续费以优先确认转账。已有用户通过支付更高费用抢先于黑客交易成功保住了资金。

cryptonews.ru5 小時前

cryptonews.ru5 小時前

Coldcard攻击事件是否意味着所有硬件钱包都不再安全？

当加密货币市场信心低迷之际，Coldcard硬件钱包的熵漏洞事件再次敲响了安全警钟。该漏洞导致超过1596枚比特币（价值约1亿美元）被盗，其根源在于特定固件版本中生成钱包种子时，随机数生成存在缺陷。事件暴露了硬件钱包安全模型的核心挑战：用户几乎无法自行审计设备硬件、固件及底层的熵生成过程。尽管Coldcard已发布固件更新并建议用户转移资金，但此事引发了一个严峻问题：这是否意味着所有硬件钱包都不安全？深入分析发现，问题并非出在比特币或密码学本身，而是源于生成私钥所需的“随机性”不足。若随机性被削弱，攻击者便能大幅缩减可能的私钥范围，进而破解钱包。此漏洞可能源于2021年的固件变更，导致设备错误地使用了较弱的伪随机数生成器。各硬件钱包厂商对此采取了不同策略： * **Ledger** 依赖经过认证的安全元件硬件生成真随机数。 * **Trezor** 结合设备内部与外部（主机）的随机源，并内置熵检查。 * **Foundation** 强调开源透明，结合多重硬件熵源，并支持可复现构建以供验证。专家普遍认为，此次事件是特定实现的失败，而非对硬件钱包或自我托管模式的最终判决。但这也警示行业：随机数生成不能依赖单一来源或代码的绝对正确。对于比特币持有者的建议： 1. **立即行动**：受影响的Coldcard用户应按指引迁移资金。 2. **长期策略**：考虑采用**多签钱包**架构，并结合独立生成的熵源。这样，单个设备、厂商或机构的失败就不会导致资产损失。总之，Coldcard事件揭示了特定产品的实现漏洞，促使整个行业更关注熵生成的透明与验证。它并未宣告所有硬件钱包都不安全，但强调了采用稳健架构（如多签）和分散风险的重要性。

cointelegraph9 小時前

cointelegraph9 小時前

Dragonfly评估称，预防Coldcard被黑只需花费2美元

风投机构Dragonfly管理合伙人哈西布·库雷希表示，针对Coldcard硬件钱包的攻击，原本可以通过价值约2美元的人工智能代码审查来预防。他认为，网络安全已简化为成本问题：攻击方使用AI模型寻找漏洞，因此产品的安全性取决于开发方使用同类AI工具扫描自身代码的投入是否超过攻击方的投入。库雷希根据Claude模型据称在8分钟内发现Coldcard漏洞的消息进行推算，认为结果可能利用了已公开信息。另一用户在无网络环境下使用GLM 5.2模型测试，耗时增至20分钟。库雷希依据智谱AI的API费率，委托Opus模型估算总成本约为2美元，并得出结论：仅需价值2美元的AI增强防护即可捕捉到该漏洞。另一方面，Galaxy Research数据显示，此次漏洞已被至少15个不同的攻击者利用，损失估计已达1亿美元，若计入可能的第四波攻击，总额或升至约1.3亿美元。事件始于7月31日晚，约500名Coldcard用户损失了594.48枚BTC。随后，受影响的持有者大多将资金转移至新地址而非交易所。8月4日，Trezor和Foundation公司就此事引发的钓鱼攻击风险向用户发出警告。

cryptonews.ru13 小時前

cryptonews.ru13 小時前

Coldcard冷钱包漏洞遭15名恶意攻击者利用

超过15名不同的攻击者利用了Coldcard硬件钱包的漏洞，这一评估来自Galaxy Digital研究主管Alex Thorn。他表示，受害者的举报帮助公司识别了攻击者，这些攻击者原本可能不会被发现。仅通过一名受害者举报的不足1 BTC的小额盗窃，就发现了一次涉及126个地址、共12 BTC的新型攻击。此次漏洞造成的损失估计已增至约1亿美元，涉及三波已确认的攻击，Galaxy Research还发现了第四波攻击，可能使总损失达到约1.3亿美元。这一事件重新引发了关于比特币冷存储安全性和实用性的讨论。 Dragonfly管理合伙人Haseeb Qureshi指出，如果花费大约2美元利用AI进行代码检查，本可能预防此漏洞。有消息称，某些AI模型在不到20分钟内就发现了该漏洞。不过，AI模型不太可能在漏洞信息公开前独立发现它。漏洞源于设备私钥生成机制的一个错误：Coldcard私钥的熵仅为40位，远低于其他钱包通常采用12个助记词提供128位熵的标准。这种对通用标准的背离显著降低了攻击者的攻击难度。随着AI模型能力的增强及其在网络安全和攻击中更广泛的应用，发现此类漏洞的成本预计将继续下降。Coldcard攻击仍然是硬件钱包历史上最大规模的安全事件之一，涉及超过15名独立攻击者，这表明漏洞信息公开后其传播范围之广。从数据分析角度看，Coldcard事件类似于2023年在Libbitcoin Explorer工具中发现的“Milk Sad”漏洞。当时密钥生成器将熵限制在32位而非所需的256位，导致数千个钱包的私钥被恢复。Coldcard的40位熵虽高于Libbitcoin，但仍远低于标准的128位，这表明此类固件错误可能在不同产品中重复出现，无论其声誉如何。

cryptonews.ru14 小時前

cryptonews.ru14 小時前

MARA向公众开放"Slipstream"，Coldcard受害者急于自救

MARA（前身为Marathon Digital）是一家在纳斯达克上市的比特币挖矿和人工智能基础设施公司，近期向公众开放了其“Slipstream”服务。该服务允许用户直接将比特币交易发送至MARA的矿池，而非广播到公开网络，从而绕过公开的“内存池”（mempool），使交易在MARA挖出包含该交易的区块前保持隐蔽。此次公开开放的时机与硬件钱包Coldcard的重大漏洞披露有关。该漏洞源于2021年3月以来的一个固件错误，导致生成钱包种子短语时随机性大幅降低，使得攻击者有可能推测出种子并窃取资金。据估计，截至8月4日，已有超过5200个钱包受损，损失金额约1.816个BTC（当时价值约1.16亿美元）。对于使用多重签名配置的Coldcard用户来说，公开转移资金存在风险：广播交易会暴露钱包密钥和支出条件，可能被持有漏洞私钥的攻击者利用“费用替代”（RBF）功能抢先窃取资金。Slipstream通过私有通道发送交易，消除了这一风险窗口，因为交易在确认前不会进入公共内存池。 MARA最初于2024年2月推出Slipstream，旨在帮助大型或非常规交易。目前该服务不收取额外费用，用户仅需支付标准比特币网络交易费。但用户仍需注意，交易确认时间完全取决于MARA的比特币全网算力占比（目前约5.37%），并且需设置具有竞争力的交易费以避免在私有队列中延迟。比特币社区普遍将Slipstream的重新开放视为应对当前安全危机的实用工具，而非永久性改变大多数交易方式。对于仍将资金存放在受影响种子钱包中的Coldcard用户，安全研究人员和钱包开发者认为Slipstream是目前转移资金最安全可靠的方法之一。

cryptonews.ru14 小時前

cryptonews.ru14 小時前

Coldcard风波后的反思：为什么韩国用户逃过一劫，英语社区却损失惨重？

Coldcard硬件钱包安全事件在比特币行业引发震动，英语社区用户损失严重，而韩国比特币社区却几乎零损失。本文通过对比分析，指出英语社区过度依赖影响者，缺乏中立性，形成“回音室”效应。韩国社区则因影响者倡导“正确”自我保管方式，如使用实体骰子生成随机数，减少对厂商信任，从而成功避险。文章强调“不要信任，验证”原则应延伸到信息过滤，警惕财务和关系偏见，呼吁社区反思结构性问题，避免未来损失。

marsbit14 小時前

marsbit14 小時前

Coldcard公司就大规模比特币被盗事件发布新声明！

硬件钱包制造商Coldcard发布了一份新的高优先级安全警告，称影响其用户的加密威胁尚未结束。公司建议所有用户将比特币转移到新钱包，并生成全新的恢复助记词。据Coldcard称，涉及密钥生成过程的安全漏洞风险仍然存在，已导致约4000万美元的损失。建议用户更新固件，并停止使用通过旧生成方法生成的地址，以防止未经授权的资产转移。公司同时驳斥了关于当前固件已永久导致Coldcard设备无法使用的说法。Coldcard表示，如果发生临时随机数生成器错误，在硬件正常的情况下，完全关闭设备并重启应能解决问题。他们强调，没有证据表明当前的修复会永久损坏设备。开发人员正在开发新的补丁，以使随机数生成系统在出错后的恢复过程更安全。预计更新将遵循芯片制造商STMicroelectronics的文档化恢复流程，并包含额外安全措施，如限制重试次数、检测种子错误以及在恢复后清除旧的随机数生成结果。此外，对Coldcard Mk3设备的支持将通过单独的软件更新实现。

cryptonews.ru昨天 19:30

cryptonews.ru昨天 19:30

硬件加密钱包制造商发出网络钓鱼警告

硬件钱包制造商Trezor和Foundation警告用户，因Coldcard安全漏洞事件，钓鱼攻击正在激增。攻击者冒充官方发送邮件，诱导用户点击伪造网站或下载恶意软件，其中包含可获取远程访问权限的工具。两家公司强调，绝不会主动索要钱包恢复助记词或要求安装未知软件。此次钓鱼浪潮紧随Coldcard钱包的严重漏洞曝光。该漏洞源于固件中随机数生成器的缺陷，可能导致生成的助记词熵不足，使得攻击者能离线推算出私钥并盗取资产。据估计，已确认的损失达1596枚BTC（约1亿美元），涉及超7300个地址。 Coldcard制造商Coinkite已发布固件更新，但提醒用户必须创建新助记词并转移资金，仅更新固件无法保护旧助记词。安全研究人员发现至少15个不同攻击者正在利用此漏洞，新的盗币行为仍在持续出现。专家指出，此次事件对比特币生态的冲击远超交易所黑客攻击，引发了链上资金的异常流动。用户需保持高度警惕，仅通过设备本身操作助记词，并忽略所有非请求的“安全审计”要求。

cryptonews.ru昨天 14:58

cryptonews.ru昨天 14:58

# 漏洞的所有文章

Ledger就Coldcard遭黑客攻击事件警告人工智能风险

Coldcard公司呼吁用户转移比特币，因漏洞仍在被利用

Coldcard钱包漏洞成为加拿大持卡人的噩梦

Coldcard攻击事件是否意味着所有硬件钱包都不再安全？

Dragonfly评估称，预防Coldcard被黑只需花费2美元

Coldcard冷钱包漏洞遭15名恶意攻击者利用

MARA向公众开放"Slipstream"，Coldcard受害者急于自救

Coldcard风波后的反思：为什么韩国用户逃过一劫，英语社区却损失惨重？

Coldcard公司就大规模比特币被盗事件发布新声明！

硬件加密钱包制造商发出网络钓鱼警告

熱門分類

熱門標籤

以太坊

项目动态