594枚BTC疑遭波及 Coldcard「種子」生成瑕疵掀硬體錢包資安標準之爭

硬體錢包大廠Coldcard被爆出「種子」生成瑕疵,讓整個產業的資安標準,從單純比拼晶片規格,擴大到事故應變與資產救援程序。從種子生成、韌體更新、資產轉移指引,到防範釣魚攻擊,製造商的整體應變能力,如今已成為保護用戶資產的關鍵一環。

Coinkite於7月30日發布的資安公告指出,部分Coldcard韌體版本所產生的種子存在風險。截至21日,Coldcard官方資安狀態頁面雖已釋出修正版本,但也提醒,舊有的高風險種子無法單靠更新韌體解決。

這次問題的根源,並非裝置遭竊或遭到實體入侵。根據Coinkite的技術說明,2021年3月從libNgU轉換的過程中,原本應銜接的硬體隨機數產生器,被誤接到軟體PRNG,導致部分種子的可猜測範圍大幅縮小。

種子是錢包所有私鑰的衍生起點。生成階段的隨機性一旦不足,攻擊者即使拿不到裝置本身,也能縮小種子候選範圍、鎖定目標資金下手。這也是外界認為,此次事件更接近錢包設計與營運流程上的疏失,而非比特幣(BTC)網路本身缺陷的原因。

各方估計的受害規模並不一致。鏈上分析初期評估約594枚BTC,價值約3,800萬美元;隨後銀河研究(Galaxy Research)與NYDIG等機構陸續提出更高的推算,包括1,082.65枚、1,367枚,甚至1,816枚BTC。官方總損失金額仍在彙整中,不同追蹤平台與研究機構之間的數字也尚未完全一致。

本社先前也曾報導,分析指出Coldcard相關損失規模已超過1,778枚BTC。相較於當時聚焦損失金額,這次討論的重點更在於瑕疵與錢包種子生成階段之間的關聯。

各家製造商的回應大致分成兩種方向。第一種是強調自家產品未受影響。Bitkey於7月31日發布公告,表示旗下用戶不需要轉移資產。

Bitkey說明,公司並未採用有瑕疵的Coldcard軟體,而是在硬體、手機、伺服器三種不同環境中分別生成金鑰。換句話說,單一環境遭入侵,不會直接波及整個錢包。

Trezor也在8月5日的公告中表示,直接以自家裝置生成的錢包不受影響。不過公告也提到,若用戶把Coldcard產生的備份匯入Trezor使用,仍可能存在風險。也就是說,就算把備份轉移到其他裝置,種子誕生當下留下的瑕疵依然存在。

第二種應對方式,則是具體告訴用戶接下來該怎麼做。Blockstream表示旗下Jade系列產品未受影響,同時也針對Coldcard用戶提出緊急處理建議:建立新錢包、轉出餘額、切勿在網頁輸入復原詞、盡快把資產轉往新金鑰。

BitBox在其資安說明中提到,產品在生成錢包種子時,會混合5組不同的隨機數來源。Ledger則在8月2日的文章中,強調安全晶片內建的真隨機數產生器(TRNG)搭配外部驗證,以及可驗證的安全目標。各家原理雖不盡相同,傳達的訊息卻很相近:用戶該相信的不是行銷話術,而是金鑰生成方式與驗證流程本身。

這起事件也顯示,硬體錢包產業無法單純用「開源」或「封閉式」二分法來評斷優劣。用戶必須清楚自己的裝置採用哪種隨機數來源、如何辨別高風險種子,萬一真的出事,資產又該按照什麼順序轉移。如果製造商無法迅速且清楚地回答這些問題,再安全的技術裝置,實務上也可能變成令人不安的選擇。

最需要留意的是,韌體更新和種子轉移是兩回事。Coinkite表示,更新韌體只能修正未來生成的種子,無法改變已經受影響的舊種子。搭配足夠強度的BIP-39密碼短語雖能增加一層防護,但並非能修復瑕疵種子本身的方法。

釣魚風險也隨之升高。Trezor、Bitkey、Blockstream都不約而同提醒,絕對不要把復原詞輸入任何網站或訊息欄位。大型資安事件過後,常會伴隨冒充客服、假冒韌體更新通知、偽造緊急復原頁面等詐騙手法。

對台灣的加密貨幣用戶而言,情況同樣值得留意。習慣把冷錢包當作交易所以外長期保管工具的投資人,有必要重新確認自己使用的錢包品牌、韌體版本,以及種子當初的生成時間。如今硬體錢包的競爭力,已經不只取決於晶片、螢幕、氣隙(air-gap)等規格,還包括萬一真的出事,廠商能不能協助用戶保住資產。