Block 追查 3,800 萬美元 COLDCARD 比特幣失竊案，線索指向區塊鏈服務供應商

Block 工程團隊表示，已鎖定利用 COLDCARD 硬件錢包漏洞的幕後實體，並將攻擊者的鏈上活動追溯至一間在盜竊過程中被使用的區塊鏈服務供應商。事件發生於 7 月 30 日，攻擊者在 UTC 01:31 至 01:56 的 25 分鐘內，從約 500 個錢包抽走約 594 BTC，按當時價格折合約 3,800 萬美元。 調查指出，漏洞源頭可追溯至 2021 年 3 月推出的韌體更新 v4.0.0。該版本在受影響的 COLDCARD 裝置上停用了硬件隨機數生成器（RNG），改用可預測的軟件後備方案，且採用非秘密的種子值。熟悉缺陷的攻擊者可藉由裝置相關元數據重現錢包種子（seed），進而還原私鑰控制權。 受影響裝置主要為 Mk3 型號，以及部分在問題韌體下生成過種子的 Mk2。Block 認為攻擊者多年來一直掌握此弱點，並以長期不動用的帳戶為目標；短短 25 分鐘完成大規模轉出，反映事前已預先計算出易受攻擊的種子並以腳本自動化清空資產。 Block 與 COLDCARD 製造商 Coinkite 亦就事件作出協作，雙方在公開完整技術細節前，先行就漏洞作緊急披露。Coinkite 已向使用 Mk3 及更早型號、且曾於受影響韌體版本下生成種子的用戶發出即時提示。初步評估顯示，較新型號包括 Mk4、Q 及 Mk5 未受該 RNG 缺陷影響。建議受影響用戶在未受影響的硬件上重新生成全新種子，並立即把所有資金遷移。 市場方面，事件期間比特幣價格在 64,000 美元以上，整體市場反應有限。值得關注的是，引入漏洞的正是 2021 年 3 月的 v4.0.0 更新；部分用戶原以為更新可提升安全性，結果卻在 RNG 已受損的情況下生成了錢包種子。