Coldcard 钱包：旧种子仍然脆弱，尽管进行了 AI 增强修复

一次更新并不足够。 Coinkite 发布了新的固件，用于其 Coldcard 硬件钱包，几周前揭露了种子生成中的一个漏洞，导致超过 1.14 亿美元的比特币被盗。针对 Coldcard Mk4 和 Mk5 的 5.6.1 版本以及 Q 型号的 1.5.1Q 版本增加了多项保护措施。然而，使用过脆弱固件创建钱包的用户必须重新生成新的种子并转移他们的资金。

关键点 {#h-points-cles}

• Coinkite 在 1.14 亿美元比特币被盗后，发布了新的 Coldcard 固件，经过三周的代码审查
• 修复的缺陷与攻击者利用的漏洞无关
• 编辑方声称，AI 工具发现的异常比单纯的人类审查更多
• 更新并不能恢复被攻击的钱包：只有迁移到新的种子才能保护资金

Coldcard 现在强制要求使用物理随机源 {#h-coldcard-impose-desormais-une-source-physique-de-hasard}

最初的漏洞源于2021 年 3 月的集成错误。在创建种子时，固件使用了 MicroPython 的软件生成器 Yasmarang，而不是 Coinkite 预定的硬件生成器。因此，获得的密钥的随机性低于预期，这可能使得攻击者能够找到它。

一个初步的修复在 7 月底发布，修复了新种子的生成。当前版本进一步加强了这一机制，要求用户提供的熵源。用户必须至少进行 65 次随机间隔的按键，50 次掷骰子或 128 次抛硬币。

备用软件生成器 Yasmarang 也被基于 SHA-256 的机制取代。固件现在将多个内部随机源与用户输入的物理熵结合起来。

其他更改涉及交易签名和USB 交换。Coldcard 特别在签名之前再次检查交易数据，以检测其显示与验证之间的任何潜在修改。可能留下某些可修改元素的签名模式也默认被禁用。

AI 发现其他缺陷，但无法拯救旧种子 {#h-l-ia-trouve-d-autres-defauts-mais-ne-sauve-pas-les-anciennes-seeds}

Coinkite 声称已使用多个人工智能模型来检查其固件的整体。这次审查帮助识别了交易批准、USB 数据管理、备份和更新验证中的其他异常。

这些缺陷与已于 7 月底修复的随机生成初始错误是不同的。它们的发现显示了 AI 在快速浏览大量代码库方面的价值，但并不能保证没有漏洞。Coldcard 的安全页面还明确指出，迄今为止进行的独立检查仍然是有针对性的，并不代表对所有固件的全面审计。

最重要的是，没有任何软件可以使潜在被猜测或已被攻击者知道的种子变得秘密。2021 年至 2026 年 7 月间使用相关版本创建的钱包必须被放弃，除非有明确记录的某些种子经过足够的独立掷骰子而得到增强。

程序包括安装修复固件，创建新种子，验证其备份，然后将比特币转移到新地址。在此事件中，更新确保了未来密钥的安全；只有迁移才能保护与旧密钥相关的资金。Coldcard 团队竭尽所能地想要翻篇——这一点值得赞扬——但这一事件仍将长久留在所有人的记忆中。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。