Coldcard 漏洞盗币损失或超 1.5 亿美元，源于 2021 年随机数缺陷

针对比特币硬件钱包 Coldcard 的盗币事件，正演变成硬件钱包领域代价极高的安全事故之一。根据 Decrypt 报道并引述 Galaxy Research，这起盗领事件虽然已经放缓，但总损失可能达到 1.5 亿美元。

已确认被盗 1,778 枚 BTC，第四波或将总量推高至 2,417 枚

Galaxy 的追踪显示，目前已确认有 1,778 枚比特币被盗，约合 1.12 亿美元。若将尚未确认的第四波攻击计算在内，被盗总量可能升至 2,417 枚 BTC，约合 1.513 亿美元。

这起事件中，超过 5,200 个地址已被清空，已有 190 多名受害者被联系到。攻击从 7 月 30 日清晨开始，最后一次确认到攻击者活动的时间为 8 月 6 日。

Galaxy 认为，攻击放缓可能有两个原因：一是存在风险的用户大多已经完成转移，二是大部分资金可能早已被搬空。

漏洞源于 2021 年一次固件改动

问题被指向 2021 年的一次固件更新。那次更新将种子的生成方式，从硬件随机数发生器改为软件方案，导致熵从 128 位一路下降，最低仅剩 40 位。

在这种情况下，攻击者只要掌握设备序列号与时钟状态，就可以重建种子，无需物理接触设备，也不需要通过钓鱼手法，即可转走资产。

ABMedia 提到，链新闻此前也曾拆解这一 2021 年构建错误的根源。

Galaxy 建议单签用户立即转移资金

对于使用单一签名 Coldcard 的用户，Galaxy 建议立即将资金转移到新的地址。