冷錢包遭「離線」掃掠：逾千枚比特幣41分鐘內被盜，裝置全程未被觸碰

逾1,000枚比特幣（約7,000萬美元）在7月30日短短41分鐘內，從1,196個錢包被轉走，規模幾乎是事件曝光初期所報道數字的兩倍。Galaxy Research周五還原整個過程，指01:10至01:51（UTC）期間共有1,082.65 BTC在六個區塊內被集中「掃走」，其間三個相鄰區塊未見相關交易，反映交易並非連續廣播，而是分批送出。 被盜資金目前停留在四個地址，暫未再移動。早期報道只追蹤到其中一個地址，導致外界其後才上調被盜總額。 就金額而言，今次事件不及今年部分大型加密貨幣盜竊案，但其手法被視為更具警示性：大多數加密盜竊需要「接觸」目標，例如入侵交易所、利用智能合約漏洞、在電腦上釣魚取得私鑰。硬件錢包主打的防線正是隔離——私鑰留在不連網的裝置上，理論上攻擊者無從下手。今次攻擊卻顯示，攻擊者毋須觸及受害者裝置，甚至受害者的錢包可以長期關機並鎖在保險箱內。 報告指出，問題源於Coldcard在某些韌體版本的隨機數生成流程。建立錢包時，裝置應生成一個極大且不可預測的數值作為seed，所有地址與私鑰都按公開固定規則由seed推導。Coldcard韌體原本應使用專用硬件隨機數生成器產生seed，但一個內部編譯設定令系統跳過該硬件來源，而支援函式庫的檢查只驗證設定是否存在，未核實是否啟用。結果，私鑰生成退回到基本軟件替代方案，並以晶片序號及時鐘寄存器作為初始來源。 晶片序號屬出廠固定資訊；時鐘值則是時間狀態，攻擊者可在自有裝置上量度或將範圍大幅收窄。後果是裝置可產生的密鑰空間由「近乎無限」收縮至可枚舉的範圍。安全團隊發現，較舊的Mk2及Mk3（Coldcard不同型號）可被推算出密鑰生成；至於Mk4、Q及Mk5，估算可行seed範圍約為40億種。對人而言40億很大，對電腦而言只是可承受的搜尋空間。 攻擊流程可完全在攻擊者機器上運行：攻擊者自行生成候選seed，推導其可能生成的地址，並把結果與任何人都可下載的公開區塊鏈資料比對。受害者裝置在任何階段都毋須參與。 Galaxy的拆解亦支持「系統性枚舉」的判斷。在被掃走的錢包中，1,183個使用原生segwit地址格式，七個使用較舊標準，另有六個使用更舊格式。若是針對個別受害者，不太可能同時跨三種地址格式；這更像是把每個候選seed沿不同推導路徑逐一檢查。研究機構警告，若持有人不盡快轉移資金，後續可能出現更多波次。 更棘手的是，用戶難以自證是否受影響。現時沒有任何針對個人錢包的測試可確認其seed是否落在可重現的範圍內。Coldcard生產商Coinkite已提醒Mk3用戶，並稱新款裝置不受影響；Block的報告則將Mk2、Mk4、Q及Mk5亦納入可能範圍。未有定論前，凡在受影響韌體上生成seed的用戶，只能以最壞情況作出處置，而非先驗證再行動。 不過，攻擊者似乎亦犯下一個失誤。Block的Clay Garrett在X表示，操作者在掃掠期間使用某「知名區塊鏈數據服務供應商」的付費帳戶查詢來源地址；該供應商內部日誌與疑似工作流程高度吻合，甚至可對上請求數量、時間與先後次序。該供應商當時只是按一般請求提供服務，從請求內容無法判斷用途。Block已把相關資料交予執法部門。 冷存儲的核心承諾在於私鑰不可被猜中。市場長期把它理解為私鑰亦不可被觸及，但「猜中」這一層面的漏洞挖掘與利用成本正持續下降。Anthropic周二發表研究指出，其一個模型可在60小時內把某候選後量子算法的安全性削半，而該設計曾通過兩年的專家審視。現實是，安全保存私鑰或已成為較容易的一半，真正難題正在轉向如何確保密鑰本身的生成不可被推算。