# Coldcard的所有文章

在 HTX 新聞中心流覽與「Coldcard」相關的最新資訊與深度分析。潘蓋市場趨勢、專案動態、技術進展及監管政策,提供權威的加密行業洞察。

通过掷骰子离线保管比特币密钥:并非人人愿意为之

文章探讨了通过投掷骰子生成比特币钱包种子短语的安全方法及其现实挑战。核心观点如下: **1. 骰子提供物理熵源** 骰子结果由众多微小变量决定,理论上虽可预测,但实践中无法被攻击者复制或计算,从而提供高质量的随机性。每个六面骰子投掷约产生2.585比特熵,50次投掷即可满足典型12词助记词(128比特熵)的安全需求。 **2. Coldcard漏洞事件凸显手工熵源的价值** 近期Coldcard硬件钱包因固件漏洞导致其内部随机数生成器存在缺陷,致使约1128枚比特币被盗。但那些**完全**通过足量骰子投掷生成种子短语的用户未受此漏洞影响,因为他们的主密钥未使用有缺陷的生成器。 **3. 重要警示:手工种子并非万能保护** 安全研究员指出,即使用户使用骰子生成了安全的种子,若他们使用了Coldcard的其他功能(如生成纸钱包、克隆密钥、共享签名密钥、密码等),这些**衍生密钥**仍可能调用有漏洞的随机数生成器,从而存在风险。安全种子不保证设备生成的所有秘密都安全。 **4. 手工生成熵源的现实局限性** 尽管数学上可靠,但该方法对大多数用户并不友好: * **过程繁琐易错**:需投掷50-99次,精确记录,任何输入错误都会导致钱包完全不同。 * **引入新风险**:用户可能在记录、转换过程中泄露信息,或使用有偏的骰子/投掷方式。 * **用户体验差**:难以想象大规模推广需要用户手动投掷近百次骰子。安全措施需适应现实生活场景和普通用户的知识水平。 **5. 给用户的建议** 受影响的Coldcard用户应: * 更新固件至最新版。 * 检查是否使用过有漏洞的功能生成了次级密钥或密码,如有则需立即更换。 * 考虑采用多签方案,使用不同厂商的设备分散风险。 **结论**:手工投掷骰子生成熵源是技术娴熟用户的一个有效安全选项,但其过程复杂、容易出错,不适合作为主流用户的默认方法。长远目标是依赖安全、透明且无需专业知识的硬件/软件随机数生成方案。

cryptonews.ru昨天 21:37

通过掷骰子离线保管比特币密钥:并非人人愿意为之

cryptonews.ru昨天 21:37

是人工智能帮助发现了Coldcard系统中的安全漏洞吗?

2026年7月30日,黑客在大约25分钟内从约500个比特币单签名地址转移了约594 BTC(当时价值约3800万美元)。后续分析显示,受影响地址可能超过1000个,损失总额估计约1128.5 BTC(当时约7110万美元)。这些地址的共同点是其助记词种子均由加拿大公司Coinkite生产的Coldcard硬件钱包生成。 调查发现,漏洞源于Coinkite在2021年3月发布固件版本4.0.1时引入的一个配置错误。该错误导致部分Coldcard设备(主要是Mk3,也包括部分Mk4、Mk5和Q型号)在生成种子时,使用了弱随机数生成器,导致熵(随机性)严重不足。受影响最严重的设备种子有效随机性可能仅为40比特,而非预期的128比特,使得攻击者有可能通过暴力破解离线推导出私钥。 此配置错误持续存在了五年之久,直到此次大规模盗窃事件发生后才被发现。Coinkite CEO公开道歉并发布了紧急固件更新。但更新无法增强已生成的弱种子,受影响的用户必须使用修复后的固件或安全设备生成全新种子并转移资金。 关于漏洞如何被发现,Coinkite提出了一种引人注目的推测:攻击者可能利用人工智能分析了其公开多年的固件代码,从而找到了这个弱点。该公司警告,在AI时代,公开代码面临前所未有的自动化分析风险。事后,也有独立研究者证实可用AI模型复现该漏洞。然而,一些安全专家批评这一说法可能转移了对基础工程失误的注意力,认为传统代码审查本应更早发现问题。 此次事件暴露了开源安全模型的局限性,并促使硬件钱包行业反思,需结合人工专家和AI工具,加强对熵生成、构建配置和旧代码的持续审计。对于Coldcard用户,当务之急是核查种子生成方式,并通过官方渠道获取指引,以安全迁移资产。

cryptonews.ru昨天 19:13

是人工智能帮助发现了Coldcard系统中的安全漏洞吗?

cryptonews.ru昨天 19:13

Coldcard漏洞加剧市场担忧,比特币即将迎来两次分叉

全球主要加密货币比特币在8月初延续疲软走势,价格在62,300至63,100美元区间波动,较7月高点回落,几乎抹去当月涨幅。市场情绪受多重因素压制。 首先,硬件钱包Coldcard曝出安全事件。攻击者利用一个长期存在的固件漏洞,从超1100个钱包中盗取了约1128.6枚比特币,凸显了自托管风险。厂商已发布修复固件,但建议受影响用户生成全新种子短语并转移资产。 其次,资金持续从比特币现货ETF流出。仅7月31日单日净流出约2.65亿美元,包括贝莱德、富达等主要产品均呈现净赎回,削弱了重要的机构需求支撑。 八月市场关注两大分叉事件:一是计划于8月7日开始信号支持的BIP-110软分叉提议,旨在限制区块链中嵌入非金融数据,但其支持率尚低且可能引发链分裂风险;二是定于8月21日进行的eCash硬分叉,该分叉将基于比特币账本创建一条新链,并向符合条件的比特币持有者空投新资产,其获得交易所支持的情况尚不确定。 季节性因素亦不利,八月历来是比特币表现艰难的月份。当前加密货币恐惧与贪婪指数处于“恐惧”区域,加之全球避险情绪升温,进一步抑制了风险资产偏好。不过,衍生品市场未出现剧烈波动,表明当前抛压主要来自平仓而非高杠杆的新空头。 技术面上,交易员关注能否收复64,000至65,000美元阻力区。若跌破62,000美元,则可能下探58,000至60,000美元的需求区域。未来几周,市场将密切跟踪BIP-110的矿工信号、eCash分叉的交易所动态以及ETF资金流能否转正。

cryptonews.ru昨天 19:07

Coldcard漏洞加剧市场担忧,比特币即将迎来两次分叉

cryptonews.ru昨天 19:07

Coldcard硬件钱包被黑:黑客在25分钟内转走594枚比特币

硬件钱包Coldcard遭黑客攻击:25分钟内损失594枚比特币 硬件钱包长期以来被认为是存储数字货币最安全的方式,但Coinkite公司设备近期发生的事件迫使许多人重新审视这一观点。2026年7月30日,攻击者在短短25分钟内从500个地址转走了594.5枚比特币(约合4000万美元)。 问题的根源在于一个潜伏了五年的软件代码错误。Coldcard本应通过安全芯片生成真随机数来创建种子短语,但由于一个宏定义中的笔误,Coinkite的开发者早在2021年3月就意外禁用了此功能。这导致设备转而基于可预测的数据(如处理器序列号和内部系统时钟)生成密钥,使得生成的种子短语看似安全,实则因生成过程可预测而极易被破解。对于Mk2和Mk3型号,密钥搜索空间骤降至约40位,而更新的Mk4、Mk5和Q型号的最终熵值也仅为约72位,远低于所需的128位。 攻击者无需物理接触设备或进行网络钓鱼。他们仅利用了有缺陷的生成器参数,在离线状态下进行大规模枚举,生成了数百万可能的种子短语,并通过公开账本找到有余额的地址,自行签署了转账交易。 Coinkite最初声称新版本设备不受影响,但后续分析迫使公司承认所有运行受影响固件的设备均存在风险。公司负责人Rodolphe Novak已公开道歉,但排除了对受损用户进行经济补偿的可能性。 对于已创建种子短语的用户,仅更新固件无法消除风险。必须将设备更新至安全版本固件,在更新后的设备上生成全新的种子短语,并将所有资金完全转移到由此新种子短语生成的新地址。使用BIP-39标准的密码短语可降低风险,但不能替代密钥迁移。公司的其他产品如TAPSIGNER等未受此次事件影响。 此事件表明,即使是专用硬件也需要对代码进行持续独立的审计,尤其是在加密功能方面。从机器分析角度看,这与过去OpenSSL等随机数生成器缺陷长期未被发现的情况类似。开源代码理论上可通过独立审计和自动化工具加速发现此类错误,但此次漏洞潜伏五年表明理论与实践仍有差距。

cryptonews.ru前天 21:41

Coldcard硬件钱包被黑:黑客在25分钟内转走594枚比特币

cryptonews.ru前天 21:41

活动图片