Coldcard 硬件錢包被爆存在韌體缺陷，令黑客成功盜走約 7,000 萬美元 比特幣 (BTC)，事件觸發 趙長鵬（CZ）警告：所謂「冷儲存」都不一定絕對安全。
重點：
- 研究人員追蹤到，7 月 30 日短短 41 分鐘內，1,196 個錢包合共損失 1,082.65 枚 BTC。
- CZ 建議用戶將資產分散存放於多個錢包。
- 生產商已推出修正版韌體，但受影響用戶必須更換由舊版本產生的種子。
Coldcard 比特幣被「掃倉」
Galaxy Research 及 Block 研究團隊追蹤發現，是次攻擊在 7 月 30 日世界協調時間（UTC）1:10 至 1:51 之間發生，於 41 分鐘內橫掃 1,196 個 Coldcard 錢包，合共 1,082.65 枚 BTC，被盜金額較早前估算幾乎翻倍。
Galaxy 指出，有關資金流動跨越 6 個區塊，其中 3 個區塊並無相關交易，反映攻擊者以「分批廣播」方式出手。整個行動毋須實體接觸裝置。截至 8 月 1 日，被盜比特幣仍分散存放於 4 個地址。
漏洞源於 2021 年 3 月的一次軟件改動：原本應使用硬件隨機數產生器（RNG）生成種子的程序，被錯誤地導向一個「可預測」的後備機制。Coinkite 估算，受影響的 Mk3 裝置實際安全強度僅約 40 位元，較後期型號約為 72 位元，遠低於硬件錢包一貫宣稱的安全門檻。
延伸閱讀： SpaceX Braces For A Supply Shock As 911.5M Shares Come Unlocked
CZ：冷錢包歷史長，不代表無風險
加密貨幣交易所 Binance 創辦人及前行政總裁趙長鵬在 X 上表示，今次事件反映「運作多年」並不等於沒有軟件風險。他寫道：「就算是硬件錢包，都可能有 bug。」他建議用戶將資產分散於多個錢包，以減低單一點失守的風險，同時亦坦言這種做法會帶來另一類操作風險。
資產分散並非萬全之策。錢包數量愈多，需要備份及恢復的程序就愈複雜；集中風險雖然下降，但操作失誤的機率會相應上升，例如記錄錯誤、備份遺失或恢復流程出錯等。
Coinkite 已為 Mk3、Mk4、Mk5 及 Q 等裝置發布修正版韌體，但單靠更新程式，無法「補強」一個本身以弱隨機數產生的舊種子。該公司指，如用戶曾以至少 50 次實體擲骰輸入隨機數，種子本身可不受是次漏洞影響。其他受影響用戶則應立即建立新種子，以小額測試交易確認無誤後，再將餘下資金全部轉移。
Block 進一步指出，較舊的 Mk2 型號亦可能受牽連，但 Coinkite 的官方通告並未明確點名此型號。由於用戶無法直接檢測現有種子是否脆弱，研究人員警告，只要有資金仍留在存在風險的錢包內，後續仍可能出現第二波甚至多輪「掃倉」。
有關漏洞自 2021 年 3 月起悄然潛入 Coldcard 的種子生成流程，之後在多個版本延續，直至 2026 年 7 月下旬緊急修補，歷時足足五年。正因影響期跨越多年，大量長期未動用、被持有人視作「已證安全」的舊錢包，如今反而成為風險最高的一群。
下一篇： OpenAI Shows Senators New Model Astra Days Before A 30-Day Review Framework Lands