Bitcoin Magazine 发布安全提示称，COLDCARD 出现一项正在被利用的严重漏洞，受影响设备包括 MK3、MK4、MK5 和 Q。文中援引 Coinkite 前一天发布的官方公告，提醒用户先阅读并核验官方说明的真实性。
这篇文章给出的结论很直接：相关设备中的部分钱包正在被转走资金，一项漏洞使攻击者在用户无需进行任何操作的情况下，就有机会找出种子短语。报道称，只有通过掷骰方式生成的钱包是安全的，前提是用户至少掷了 50 次骰子。
如果用户不清楚、记不住，或无法确认自己当时是否这样做，文章建议立即转移资金，并将这一问题定性为需要马上处理的关键安全事件。
哪些种子受影响
报道写道，如果用户在 2020 年末之后使用 Coldcard 生成了单词种子，且没有按照建议在生成过程中通过至少 50 次掷骰自行提供额外熵，那么这组单词种子就不安全。原因是其生成时随机性不足，恶意攻击者可以对其进行暴力破解。
文章还称，使用受影响种子派生出的 BIP 85 种子同样受影响；Clone Coldcard 或 Key Teleport 功能使用的临时密钥和会话密钥也在影响范围内。即便如此，文中的结论仍是：用户必须转移资金。
按照文章说法，这一攻击已经在被积极利用，链上已经观察到约 1000 BTC 的转移与该漏洞有关。
文章给出的应急处理方式
文章建议，用户需要把资金转移到一个新的单词种子钱包，或者转到由其他设备生成的单词种子钱包，以此保护资产。
如果用户手中有另一台不是 Coldcard 的硬件钱包，文中建议直接把资金转过去，并称这是最快、最简单的处理方式。
如果用户没有其他硬件钱包，手里只有 Coldcard，文章建议使用 BIP 39 词表中的至少 6 个种子词来生成一个密码短语，而且这些单词不要自行挑选，而应按照文中提到的指引进行选择。完成后，用户需要核对钱包指纹或地址，关闭设备，再次启动并重新输入密码短语，确认指纹或地址一致后，再把资金发送到这个密码短语钱包。
文章强调，这不是永久方案，只是先把安全性提高到攻击者无法在几天内暴力破解密钥的程度，让用户有时间在不慌乱的状态下重新生成新种子。文中同时提醒，密码短语也要安全记录备份。
没有其他选择时可用的软件钱包
如果用户没有别的选择，或者不愿继续使用该设备，文章提到可使用 Nunchuck 钱包，支持移动端和桌面端。文中建议用户放慢节奏，不要太仓促，在确认所有备份都已妥善完成后，再把资金发送到该钱包。
对于管理大额资金的用户，文章称 Nunchuck 支持多签，用户可以利用多个设备创建多签钱包。
除 Nunchuck 外，文章还提到 Blockstream Green 和 Bluewallet 也可以作为软件钱包选项。
补丁已发布，但旧资金仍需先迁移
文章称，在资金完成保护后，用户可以稍作停顿。报道同时指出，只要单词种子是以安全方式生成的，Coldcard 仍然可以继续使用；相关固件补丁已经发布。
按照文章说法，在安装这次固件更新之后新生成的单词种子应当是安全的，用户也仍可使用掷骰选项。如果用户此前已经把资金转到了热钱包或其他安全性较低的地方，那么在应用固件更新并重新生成一个新种子后，Coldcard 仍可继续使用。
提醒其他可能受影响的用户
文章最后建议，用户在先保障好自己的资金后，应主动联系自己认识的、可能使用了受影响 Coldcard 生成种子的钱包持有者，告知他们这一问题；如果自己有能力，也可以协助对方完成资金迁移。
文中指出，并不是所有人都会定期关注比特币新闻，因此很多人可能并不知道自己正处在风险中。
这篇文章首发于 Bitcoin Magazine，署名作者为 Shinobi。