Coldcard 漏洞：确定性 PRNG 致使价值 8800 万美元的 BTC 被盗
2026年8月1日，约1,196个比特币地址在一次有组织的清扫行动中被清空。没有网络钓鱼，没有签名的恶意PSBT，也没有传统意义上的用户失误。这次耗尽约8,800万美元比特币的Coldcard漏洞，在盗窃发生时从未触碰过任何设备，据CoinDesk的报道。
根本原因比我在最初24小时内看到的任何评论都更为严峻。这是一个2021年随固件发布的硬件钱包漏洞，它悄然将硬件真随机数生成器替换为软件伪随机程序。在该版本下生成的每一个助记词都是确定性的。从这些助记词派生出的每一个地址，原则上都可以由任何逆向工程了该漏洞的人预先计算出来。
这不是黑客攻击，这是提交与后果之间长达五年的时间差。
Coinkite固件漏洞究竟做了什么
据The Hacker News的详细报道，这个有缺陷的版本将熵调用路由通过一个以少量可猜测状态为种子的软件PRNG，而非安全元件芯片的硬件RNG。用户无从察觉这一替换。设备正常启动，显示预期的设置界面，生成24个单词的助记词，看起来与正确生成的钱包毫无二致。
它生成的助记词存在于一个也许只有数十亿种可能的可搜索空间中。那不是钱包，那是一张彩票。
当攻击者（或者更可能是发现这一漏洞却未负责任地进行披露的研究人员）于8月1日开始在UTXO集上穷举这一空间时，整个清空过程只耗费了数小时，而非数月。
为什么被清空的1,196个比特币地址数量至关重要
1,196 这个数字绝对值不大，但在信号意义上却极为重要。它锁定了在特定固件版本窗口内生成种子且从未轮换的用户群体。这是一个关于爆炸半径的可验证、可证伪的陈述，TechSpot 的报道也证实，受影响的设备可追溯到一个狭窄的出货时段。
如果你在其他固件版本上生成了种子，或者在固件更新后进行了轮换，那你几乎可以肯定是安全的。如果你在那个版本上生成种子且从未迁移，你的资产其实早已岌岌可危，只是自己浑然不觉。
有一个细节值得关注：部分被盗的 UTXO 自 2021 年起就从未动过。五年的"我的私钥，我的币"，而这些私钥从来都不真正属于你。
确定性伪随机数生成器的比特币问题由来已久，且一再重演
这类漏洞有着漫长而令人汗颜的历史。2013 年，Android 的 SecureRandom 以同样的方式让人们损失了 BTC。2008 年的 Debian OpenSSL 伪随机数生成器漏洞在无人察觉的情况下，使 SSH 密钥遭到破坏长达两年。每一代人都在重新学习同一个教训：熵是那个你无法通过观察输出来审计的东西。
一个格式良好的随机 256 位数和一个确定性的 256 位数，看起来一模一样。你需要审计的是来源，而不是样本。这才是整个游戏的核心。
硬件钱包售卖的前提是：安全元件替你处理好了这一切。而当固件绕过安全元件时，你得到的是冷存储的全部麻烦，却没有任何安全保障。两全其失。
自托管与 ETF 并非人们以为的那种争论
这是我的观点，我为之负责：自托管与 ETF 的讨论一直被框定为意识形态之争，而它本质上是一个供应链问题。
现货比特币ETF只有一个我真正在意的攻击面：托管方的运营安全。这个面可以接受监管审计，可以投保，背后有专职人员，他们的全部工作就是确保不丢失资产。出了问题，有人来买单。
自托管的链条更长：芯片厂商、固件构建管道、发布签名、供应链、终端用户操作安全、备份管理习惯。任何一个环节出问题，都没有人来买单。Coldcard 盗币事件对这套论点的冲击，堪比 Terra 时刻，不是因为自托管已死，而是因为"只要自己持有密钥"这种极端主义的说法必须成熟起来。
两种模式都存在真实风险。假装其中一种没有风险，正是让 1,196 个地址遭到清空的原因。
Coldcard 漏洞之后，什么真正会改变
几件我认为将会（也应该）发生转变的事：
- 可复现的固件构建将成为基本要求。如果你无法从源代码重建二进制文件并逐字节比对，你信任的是一个签名，而不是代码本身。
- 生成后的熵证明。设备应当签署一份证明，表明某个助记词来自安全元件而非软件。这并不难实现，Coinkite 一个季度内就能推出。
- 独立的助记词健全性验证。第三方工具在不查看你助记词的前提下，验证其派生路径落在与真随机性一致的分布区间内。
- 自托管保险产品。不是那种流于形式的，而是真正的核保，要求通过固件认证，并随构建版本老化而更新保障范围。
这些都不会让硬件钱包过时，而是让它们真正达到企业级标准，而这本来就是它们一直声称做到的。
对我们其他人不那么舒服的启示
在 LCX，我们将大量工程时间花在用户几乎看不见的事情上：HSM 密钥仪式、确定性构建管道、任何涉及私钥的代码路径的熵审计。这是枯燥的工作，但它也是区分"成为新闻头条"与"平静度过一个普通的周二"的关键所在。
Coldcard 事件带来的冲击，与今年早些时候 OpenZeppelin CEO 对 DeFi 审计的评论 如出一辙。我们沿用的审计体系，是为一个"你部署的代码就是你运行的代码"的世界而设计的。而那个世界，如果它曾经存在过的话，早已不复存在。
冷存储本应是那个无聊却正确的答案。结果证明，"无聊"需要远比我们承认的更多的配套基础设施。