新聞 
幣種資訊 
關於我們 
硬體錢包品牌Coldcard的一款產品因種子密鑰生成漏洞引發用戶怒火，有人甚至直接開槍摧毀手中的Coldcard Q作為抗議。研發商Coinkite表示，部分透過舊版韌體產生的種子，「熵值」僅約72位元，遠低於原本設計的128位元標準。
在美國比特幣(BTC)社群中以「denverbitcoin」帳號活躍的亞當(Adam)，於8月2日公開表態要摧毀自己的Coldcard Q，藉此聲援受影響的用戶。《Crypto Briefing》報導指出，這起行動被視為對廠商漏洞處理方式的象徵性抗議。
Coinkite於7月30日發布、8月1日更新的資安公告中說明，凡是使用修補前韌體的Mk4、Q、Mk5機型，若生成種子時未進行至少50次獨立且私密的骰子擲點，也未設定高強度且獨特的BIP-39密碼詞，相關種子都可能暴露在風險之中。
目前Coldcard Q已推出修補版本，標準韌體須升級至1.5.0Q以上，Edge版韌體則須升級至6.6.0QX以上。不過Coinkite提醒，更新韌體並不會讓既有種子的熵值恢復正常。廠商建議用戶安裝修補版韌體後重新生成新種子，再將資金轉移過去；操作時應先進行小額測試轉帳，並在裝置螢幕上確認新錢包的指紋與收款地址無誤，才將剩餘資產全數轉出。
BIP-39密碼詞常被稱為「第25個字」，是額外的一組密鑰。Coinkite解釋，只要設定夠強、獨一無二的密碼詞，即使種子熵值遭削弱，攻擊者也難以憑此存取資金。但若密碼詞過短、太常見，或曾在其他服務重複使用，就有可能被猜中，這類種子中的資金應立即轉移。
本網先前報導，Coldcard相關駭客事件損失一度被估計高達1.02億美元。不過Coinkite這次發布的資安公告中，並未附上具體受害金額或受影響錢包數量。
這起事件也凸顯，硬體錢包的安全性不只取決於裝置本身，種子生成方式、備份流程與密碼詞設定同樣關鍵。Coinkite在Coldcard Q的設定說明中指出，擲骰子的用意，是在裝置本身的隨機數之外，額外加入使用者能夠自行驗證的隨機性。
留言 0