Coldcard 韌件 PRNG 漏洞潛伏五年，確認致 1,367 枚比特幣失竊（約 8,600 萬美元）

Galaxy Research 於 2026 年 8 月 2 日發布的鏈上追蹤資料顯示，Coldcard 硬件錢包韌件自 2021 年 3 月起內置的偽隨機數產生器（PRNG）漏洞，已造成確認合共 1,367 BTC 失竊，涉及 4,585 個地址，按當前估算約值 8,600 萬美元。Galaxy 指，按已確認損失計算，事件屬比特幣史上最嚴重的硬件錢包入侵個案之一，且攻擊不需釣魚、不需接觸實體裝置，也不依賴用戶操作失誤。 Galaxy 進一步稱，除早前波次外，最新識別到疑似針對 Coldcard 生成地址的第三波攻擊，單次被抽走 207.7294 BTC。其估算目前可觀察到的總規模為 1,367.05 BTC（約 8,860 萬美元），覆蓋 4,585 個地址。 事件曝光之際，比特幣兌美元當日下跌 1.4%，報 62,250 美元。過去七日走勢波動，價格由 65,000 美元以上回落。24 小時成交額約 169 億美元，較前一日逾 200 億美元回落（資料來源：TradingView）。 漏洞成因方面，Block 工程團隊將問題追溯至 Coldcard 使用的 libngu 函式庫。Coinkite 原意把某個板級設定置為 0，以停用 MicroPython 的 RNG，並改用硬件真隨機數產生器（TRNG）。但 libngu 的防護邏輯只檢查巨集是否"已定義"，令值為 0 仍通過檢查，導致 MicroPython 在編譯時移除 STM32 硬件 RNG 的呼叫，轉而依賴 Yasmarang——一個軟件 PRNG。Galaxy 指其有效熵約只有 40 bits，遠低於 BIP39 助記詞種子預期約 128 bits 的強度。後期型號（Mk4、Mk5、Q）據稱提升至約 72 bits 的有效熵，但仍未達理想水平。40 bits 與 128 bits 的差距被形容為"極具意義"，弱種子更易成為攻擊目標。 時間線上，Coinkite 於 2026 年 7 月 30 日發出安全通告；通告後數小時即出現一輪攻擊，約 500 個地址合共流失約 594 BTC。其後再追蹤到兩個波次，至 8 月 2 日累計達 1,367.05 BTC、涉及 4,585 個地址。Galaxy 指，大部分被盜比特幣仍未被花費，或意味攻擊者正觀望時機再轉移資金。 Galaxy 將事件視作一個更結構性的警號：無論自託管採用硬件或軟件，安全保證最終取決於種子生成時的熵質量；一個配置錯誤的預處理巨集，足以在多年內無聲無息地瓦解整套保證，而不觸發可觀察警報。 在更廣泛的加密安全脈絡中，報道指出"熵不足"屬反覆出現的失效模式。2013 年 Android SecureRandom 缺陷曾導致 ECDSA 簽名 nonce 重複，令多個比特幣錢包密鑰暴露；2022 年 Wintermute 相關事件中，Profanity 靚號地址生成器以 32 bits 熵作為種子，最終令攻擊者抽走約 1.6 億美元；2023 年"Milk Sad"披露則指 Libbitcoin Explorer 的 bx seed 以系統時間為種子驅動 Mersenne Twister，令原本預期 256 bits 的熵塌縮至約 32 bits，牽連逾 120,000 個錢包。不同程式庫、不同鏈，核心問題一致：被假設為強隨機的來源實際並不可靠。 TRM Labs 全球政策主管 Ari Redbord 表示，事件反映自託管是"轉移"風險，而非消除風險。TRM Labs 2026 年上半年數據顯示，在破紀錄的 207 宗黑客事件中，基建與密鑰被攻破雖僅佔 15% 個案，卻造成總金額損失的 76%。 Galaxy 透露，已向聯邦調查人員、合規供應商及網絡安全公司通報約 600 個疑似由攻擊者控制的地址；同時提醒，其對 Coldcard 的歸因依賴鏈上啟發式分析，而非逐個地址進行計算式的種子重建。