Ledger高階主管、首席人類代理長（Chief Human Agency Officer）Ian Rogers表示，這起金額約1.16億美元的Coldcard竊盜事件，真正凸顯的是「弱隨機性在AI時代被放大的風險」，而非證明硬體錢包或自我託管本質上不安全。
重點整理
- Coldcard在種子生成流程上的設計瑕疵，大幅壓縮有效熵值：舊版裝置僅約40位元，新款受影響機型則約72位元。
- TRM Labs指出，自7月30日起的多波攻擊共竊走約1,816枚比特幣 (BTC)，市值接近1.16億美元。
- Rogers認為，AI降低了尋找漏洞與自動化攻擊的成本，而自主AI代理人一旦能存取憑證與機密資訊，將衍生額外系統性風險。
比特幣錢包隨機性缺陷曝光
多家媒體於8月12日報導，Rogers否認此次事件代表硬體錢包天生不安全。他將矛頭指向「種子隨機性不足」與「AI工具讓駭客更有效率掃描可被攻擊的系統」，才是風險核心。
Coldcard製造商 Coinkite在技術說明中坦承，其在2021年導入的一版韌體，誤讓種子生成依賴軟體偽隨機數產生器（PRNG），而非原本設計要使用的硬體真隨機路徑。初步估算顯示，受影響的Mk2與Mk3裝置有效熵值約落在40位元左右，而新一代受影響機型約為72位元。
依TRM Labs分析，駭客透過四波攻擊，從逾5,200個位址共竊走約1,816枚BTC，損失金額約1.16億美元。與此同時，Ledger強調，自家裝置的熵值完全來自通過認證的安全元件（Secure Element）內建的硬體真隨機數產生器，且不採用任何軟體後備機制。
延伸閱讀： XRP跌破1美元之際 鯨魚悄然吸納3.8億枚代幣
Ian Rogers：AI正改寫威脅版圖
Rogers指出，AI正在三個面向改變資安威脅環境：
- 提供更強大的漏洞探索工具，顯著降低攻擊者尋找弱點的時間與成本。
- 加速軟體開發節奏，使新功能與新程式碼更快上線，也意味潛在漏洞更快速累積。
- 擴大擁有敏感系統存取權的AI代理人數量，使這些代理人成為新的攻擊面。
他強調，第三項風險已遠不僅限於加密錢包。企業部署的AI代理人可能會代為處理電子郵件、登入憑證、支付資訊與內部溝通內容，只要授權邊界劃分不清，任何憑證外流或代理人被接管，都可能導致重大損失。
Rogers以「父母決定何時把車鑰匙交給青少年」作比喻，說明AI代理人的權限控管：應視情境決定在何種操作下放行敏感權限，而不是一體授予全面存取。他表示，Ledger正在研發工具，將「AI代理人操作錢包的能力」與「對私鑰本身的控制權」切割開來，降低代理人遭濫用時的潛在損害。
「不論你的資產存放在何處，你都應該關注保護這些資產的安全水準。」Rogers接受彭博訪問時如此表示。
隨機性議題並非首見
Ledger過去已多次對隨機性不足提出警告。其資安團隊Donjon早在2022年11月，就向Trust Wallet通報其瀏覽器外掛存在種子熵值不足的問題，當時實測有效熵僅約32位元，遠低於安全標準。
在AI工具迅速普及之際，Rogers呼籲市場參與者重新審視加密錢包、憑證管理與企業系統的「隨機性品質」與「權限設計」。在運算成本與攻擊工具持續下探的今天，過去被視為「理論風險」的弱點，正快速演變為實際發生、且代價高昂的攻擊事件。
