硬件钱包厂商 Coinkite 表示，攻击者可能借助 AI 找到了 Coldcard 固件中的一个缺陷，这一问题已让用户损失数千万美元的比特币。该公司同时称，自己在数周前也曾用一个被其称为业内最佳之一的模型审查相同代码，但“没有发现这个漏洞，也没有发现任何严重问题”。
Coinkite 在周四发布了面向 Mk3 的安全公告和一份技术说明。公司是在获知其设备生成的种子短语比预期更容易被猜中后，公开披露这一问题的。
Mk3 公告发布后，损失已达 594 BTC
根据 Coinkite 的说明，如果用户在固件 4.0.1 之后使用 Mk3 生成过种子，资金可能面临风险。公司基于初步分析称，Mk4、Q 和 Mk5 不受该公告所指的同类风险影响，但随后披露的技术细节显示，当前各型号都在不同程度上受到波及。
这次漏洞在周五早些时候被利用。Coinkite 估计，与该缺陷相关的损失为 594 BTC，按文中折算约为 3800 万美元。大约 500 个钱包在 25 分钟内被转走资金，其中 562 BTC 此后已被归集到一个单一地址。
公司写道，它现在不得不假设“有人使用 AI 审查了我们之前版本的固件”，从而发现了这一漏洞。Coinkite 表示，攻防双方使用的是同样的工具，但这一次“它没有帮到我们，只帮到了坏人”。
漏洞如何产生
按照 Coinkite 给出的技术拆解，Coldcard 固件会调用一个用于获取随机性的函数，而代码库中同时存在两个签名完全相同的实现：一个是 Coinkite 自己编写的硬件随机数生成器，另一个是继承自 MicroPython 的软件回退实现。
问题出在一个预处理器保护条件上。它只检查某项设置是否被定义，却没有检查该设置的值，因此构建过程在没有报错的情况下使用了软件回退实现。自 2021 年 3 月的一次迁移以来，种子生成一直在调用这一回退路径。
Coinkite 称，所有当前型号都受到了不同程度的影响。对于 Mk3，公司估算其种子的有效搜索空间约为 40 比特，而种子原本应具备 128 比特强度。Mk4、Q 和 Mk5 因安全元件带来的额外熵，强度提升到大约 72 比特。公司称，这一水平“明显改善了处境”，但仍未达到目标值。
Tapsigner、Opendime 和 Satscard 使用的是不同代码，因此不受影响。
用户需要怎么做
Coinkite 已发布紧急热修复：Mk4 和 Mk5 对应版本为 5.6.0，Q 的版本为 1.5.0Q。公司提醒，升级并不能修复已经在受影响固件上生成过的种子。
对于受影响用户，处理办法是使用已打补丁的硬件重新生成新种子。Coinkite 建议用户启用高强度的 BIP-39 密码短语，或至少进行 99 次掷骰取熵，或者两者同时使用。Mk3 因已停止支持，被引导至单独的迁移路径。
该公司还强调，如果一个种子是在受影响的 Coldcard 上生成的，那么即便把这个种子恢复到其他品牌设备中，它的弱点仍然存在。
其他厂商回应
在提醒自家用户资金安全的同时，硬件钱包厂商 Trezor 也提到，上述弱种子即使被导入其他品牌设备，风险也不会消失。
Block 于周五发布了一份独立分析，称其产品均未受到影响。Block 硬件负责人 Max Guise 表示，其比特币工程和安全团队在周五早些时候开始调查有关非 Bitkey 钱包被转空的报告，并呼吁任何可能暴露在该问题下的用户在确保操作安全的前提下尽快转移资金。