Coldcard 硬件钱包近期曝出的熵值处理缺陷，正在冲击加密行业长期建立的自托管信任。该漏洞已造成比特币资产损失，不过在亚洲比特币大会的讨论中，多名业内专家仍认为，相比设备漏洞，中心化交易所带来的交易对手风险更大；在完善安全配置的前提下，自托管依然是掌控资产的更优方案。
固件漏洞被称为自托管钱包的「9 11 事件」
这起事件被与会者称为「自托管钱包的 9 11 事件」。问题源自 Coldcard 固件中一个隐藏长达五年的深层漏洞：设备在连接与熵相关的程序库时，开发人员在将代码从 Python 迁移到 C 语言的过程中出现操作失误，意外关闭了内置的安全随机数生成器（RNG）。
这一错误使设备在生成私钥时无预警降级到极不安全的替代算法，把原本极难破解的 256 位密码学熵降到仅 22 位。对于受影响的 Coldcard Mk3 设备而言，这意味着其生成的私钥安全性显著下降，攻击者可以通过运算较为轻易地推算私钥。
本次事件的受害损失均为比特币。部分被盗并转移的资金已经在链上沉寂长达五年，这也被视为攻击者早已知晓该系统漏洞，并针对早期比特币持有者实施大规模掠夺的迹象。
预警提前一年发出，但未转化为修复行动
安全研究员 James O Beirne 在事件发生前一年就曾向制造商提出预警。不过报道提到，厂商缺乏严格的代码审查机制，也没有设置漏洞赏金计划，同时还存在代码授权变更等管理问题，导致这次预警未能及时转化为修复措施，最终酿成大规模资金流失。
在与会者看来，这次漏洞不仅是一次技术事故，也暴露出开发商在维护和管理层面的缺失。硬件钱包被视为自托管的重要基础设施，一旦固件层出现长期未被发现的问题，用户对整套安全假设的信任就会受到直接冲击。
多厂商多重签名被视为最有效防护手段
面对硬件钱包固件可能带来的单点故障，小组讨论中一致认同，「多厂商多重签名机制」是保护加密资产最有效的方式之一。
所谓多重签名，是指交易需要多个独立私钥共同授权；而多厂商策略，则是跨品牌组合不同制造商的硬件设备，例如搭配 Coldcard、Bitkey 与 Frostsnap。在这种设置下，即使某一台设备因为固件缺陷生成了低熵私钥，整套系统仍可依赖其他制造商设备提供的额外熵和独立验证，避免整体密码学安全性被单点漏洞拖垮。
专家也提到，市场上已经出现一些现代化管理工具，用于降低用户的操作门槛。比如 Liana（Liana Bitcoin）提供更灵活的界面，以及「时间衰减密码短语」功能，允许用户将单一助记词与自定义密码配合使用；如果在设定期限内没有进行重置，交易权限会自动改变，以提升防盗效果。
另一类方案来自 Unchained 与 Casa 这类协同托管多签服务。此类服务由第三方协助持有其中一把密钥。报道提到，当前全球约 500 万硬件钱包用户中，仅约 1% 采用多签设置。即便如此，专家仍建议用户落实「不要轻信，要验证」原则，并结合密码短语与多签机制，降低单一设备漏洞带来的极端损失。
AI 审计开始进入代码安全流程
Coldcard 事件重创了市场对自托管硬件的信任，也推动比特币开发社区重新审视安全优先级。报道指出，许多开发团队已经暂停新功能开发，把资源转向旧有代码库的全面盘点和更严格的审查。
在这一过程中，「人工智能代理」正被广泛引入代码审计流程。按照文中描述，AI 可以用远快于人工工程师的速度扫描数万行历史代码，更快识别底层逻辑错误与潜在降级漏洞，从而把原本可能潜伏数年的安全隐患提前清除。
过去，开源社区主要依赖人工同行审查；但在面对大规模代码迁移时，人力瓶颈开始变得明显。AI 工具的加入，使开发者有机会在代码提交阶段持续进行自动化扫描，检查安全声明是否与固件完整性一致。报道认为，这场安全危机也在加速 AI 审计成为区块链基础设施开发中的标准化流程。
专家称中心化平台风险仍高于设备漏洞
尽管此次固件漏洞造成了严重财产损失，专家小组仍强调，用户不应因此把资产重新转回中心化交易所或其他托管服务。原因在于，中心化机构本身存在显著的交易对手风险，运营方可能挪用资金或发生内部违规操作，进而让用户在提币时面临流动性问题。
从报道列举的历史案例看，Mt. Gox、FTX 等中心化平台倒闭所带来的损失规模，高于个别硬件钱包固件漏洞造成的损失。相较之下，自托管的优势在于资产隔离更明确：即便某个硬件钱包型号或特定软硬件版本出现技术缺陷，影响通常局限于对应范围，不至于演变成整个加密生态的系统性崩溃。
报道最后指出，Coldcard 事件已经明显提升了加密社区对信息安全的警觉，也促使硬件和软件厂商加快优化多重签名设置与备份机制。在安全配置足够完善的前提下，自托管仍被视为维护资产掌控权的最佳选择。