由於報告指出，某些舊版設備的固件漏洞影響了助記詞生成，Coldcard 的安全問題再次讓比特幣硬體錢包的安全性受到關注。
根據經過驗證的事件記錄，此問題涉及 Coldcard Mk3 固件版本 4.0.1 至 5.0.3，以及固件版本低於 5.6.0 的 Mk4 和 Mk5 設備，還有固件版本低於 1.5.0Q 的 Q 設備。核心問題在於種子生成存在弱點，即硬體隨機數生成器被可預測的軟體替代品取代，使熵值從預期的 128 位降至 72 位。
這是一個技術細節，但至關重要。Bitcoin 錢包的安全性完全取決於其背後的助記詞。如果助記詞的生成足夠可預測，使攻擊者能縮小搜索範圍，那麼即使用戶從未分享過助記詞、點擊過釣魚連結或洩露過私鑰，錢包仍可能變得不安全。
2026 年 7 月 30 日和 31 日，報告的轉移涉及約 594 BTC，來自約 500 個單簽名 錢包。
如需更多詳情，請訪問官方 Blog 平台。
簡而言之
- Coldcard 的種子生成漏洞影響了部分舊版固件/裝置。
- 報告指出，約有 594 BTC 從大約 500 個單簽名錢包中被轉走。
- 使用 BIP-39 密語或足夠的擲骰子次數生成的種子，不在已驗證備註的風險範圍內。
為何熵才是整個遊戲
比特幣的安全性有時聽起來很複雜，但在助記詞層面，原則很簡單：隨機性保護錢包。
助記詞不應可被猜測。有效助記詞的可能數量極其龐大，因此透過暴力破解來嘗試應幾乎不可能實現。這一假設依賴於足夠的熵值。如果用於生成助記詞的隨機過程被削弱，攻擊者的任務將從不可能轉為可能實現。
這就是為什麼這個事件比一般的固件漏洞更嚴重。
顯示問題可能令用戶困惑，簽名錯誤可能導致交易風險，但助記詞生成缺陷則直接影響錢包的根本。
如果錢包助記詞是在隨機性較弱的情況下生成的，即使用戶此後行為完美，仍可能面臨風險。
並非所有 Coldcard 用戶都處於相同的持倉
重要的是，這並不意味著每台 Coldcard 裝置目前都不安全。
驗證說明指出，受影響的設定與特定的固件和裝置版本相關聯。同時也列出了已修復的固件版本，包括 Mk4 和 Mk5 裝置的 5.6.0 版本，以及 Q 裝置的 1.5.0Q 版本。
另一個重要區別：使用 BIP-39 密語或至少 50 次擲骰子生成的種子，不被視為受事件說明影響的風險對象。
這很重要，因為用戶可能以不同方式創建錢包。由受影響固件的設備完全生成的助記詞，其風險特徵可能與通過擲骰子熵或密碼短語增強的助記詞不同。
對於用戶而言，實際的問題並非「我是否擁有 Coldcard？」，而是「哪個設備和固件生成了我的助記詞，以及該助記詞是如何創建的？」
這是一個更狹窄且更有用的問題。
為何單簽名錢包更易受攻擊
據報導，此次掃描主要針對約 500 個單簽名錢包。
從攻擊者的角度看，這很合理。在單簽名設定中，一個助記詞控制資金。如果該助記詞可以被推導或猜出，就沒有第二層批准機制。
多重簽名設定會產生不同的風險模型。如果其中一位簽署者的助記詞遭泄露，攻擊者仍需其他密鑰才能轉移資金。這並不意味著多重簽名能完全免疫所有錢包故障，但可以降低單一弱助記詞所造成的損失。
這正是為什麼認真的比特幣 託管 方案通常會使用多重簽名、密碼短語、骰子生成的熵、地理分離的備份，以及來自不同供應商的硬體。
這不是因為每個用戶都需要企業級託管，而是因為比特幣託管沒有客戶支援重置按鈕。一旦資金轉移，區塊鏈無法將其撤銷。
硬體錢包仍需信任、更新與驗證
硬體錢包常被宣傳為持有加密貨幣最安全的方式，對許多用戶來說確實如此。但「硬體錢包」並非魔法。
用戶信賴裝置的固件、供應鏈、助記詞生成、備份紀律、簽名畫面、更新方式以及自身的操作安全。硬體錢包能降低許多線上風險，但無法消除所有可能的失敗點。
固件更新也會帶來艱難的取捨。
使用者常被提醒，除非了解變更內容，否則不要匆忙更新。同時，安全修補程式可能是必不可少的。如果使用者從不更新，可能會持續暴露於已知的漏洞中；如果草率更新，則可能透過偽造的韌體或網路釣魚引入新的風險。
最安全的途徑雖然乏味但至關重要：使用官方來源、驗證固件、仔細閱讀安全通告，並避免恐慌性操作。
比特幣持有者的重點
這起事件提醒我們，自託管之所以強大，是因為它減少了對 交易所 和託管方的依賴。但同時，它也將安全責任交給了使用者及其選擇的工具。
對於 Coldcard 用戶，當務之急是確定其助記詞是否在受影響的固件上生成，以及是否使用了額外的熵或密碼保護。有顯著風險的用戶應遵循官方指引，切勿將助記詞輸入任何聲稱可檢查漏洞狀態的網站或未知工具。
對於更廣泛的比特幣市場，這個教訓更為重要。
最強的保管方式不僅僅是擁有硬體設備，而是理解助記詞是如何生成的、備份如何存儲、簽名如何受到保護，以及當設定的某一部分失效時會發生什麼情況。
比特幣讓用戶擁有最終控制權。這種控制權很有價值，但不容寬恕。
本文基於 Coldcard 安全資料及有關 2026 年 7 月錢包被轉移的公開報導。
本文由新聞團隊撰寫，並由 Samuel Rae 編輯。