嚴重漏洞！超老牌冷錢包竟被 AI 破解！你的比特幣還安全嗎？｜幣圈週報

外来客 • 2026-08-12 02:25:46

声明：本文为对公开内容的摘要整理，未经本站独立核实，可能与原内容存在出入，不代表本站立场、观点或建议；观点与版权归原作者及原平台所有。如涉及版权问题，请联系我们，核实后立即删除。 [ 免责声明 ]

本次事件的核心在于老牌冷钱包 Coldcard（背后公司为 CoinKite）因固件更新中的代码错误，误用“伪随机”而非“真随机”方式生成私钥种子。这导致原本拥有 $2^{256}$ 种可能性的极高安全系数，暴跌至仅 40-72 位元的有效熵值，使得黑客可以通过算力穷举破解私钥。

真随机 vs. 伪随机：
真随机：依赖物理现象（如电子噪声、热噪声或人工掷骰子），不可预测。
伪随机：依赖软件算法，逻辑可循。Coldcard V4.0.1 固件错误地调用了基于芯片唯一识别码（UID）和计时器寄存器的算法生成随机数，这两个来源均具有规律性或有限性，导致生成的私钥可被推算。
开源的双刃剑：虽然 Coldcard 坚持代码开源以接受社群审计，但漏洞早在 2021 年 3 月就已埋下，历时五年未被发现，直到近期被 AI（如 Claude）在 8 分钟内定位并攻破。

被盗金额：7 月 30 日，黑客从数千个地址批量清空资金，共盗走 1,755.95 枚比特币，市值超过 1.1 亿美元。
漏洞根源：V4.0.1 固件更新中，开发团队使用了名为 `LibNgu` 的密码学库。该库由 Coldcard CTO 匿名维护（GitHub 账号 SWITCK），且当时仅有 6 个 Star。2025 年 5 月开发者 James 曾审计发现 RNG 路径可疑并报告 CoinKite，但未获重视。
韩国用户幸免原因：许多韩国 KOL 长期教育用户使用“掷骰子”功能手动生成助记词（真随机），从而避开了固件自动生成的伪随机漏洞；而欧美多数用户直接依赖硬件自动生成，因此中招。
其他冷钱包对比：
Ledger、Tangent、Qualel 均为半开源或闭源加重认证，但均强调使用 EAL6+ Secure Element 芯片产生真随机数。
目前尚无绝对安全的单一方案，风险在于“单点失效”。

Clarity Act 进展停滞：美国参议院共和党代表 Johnson 议员确认，8 月第一周无法完成法案推进，但会在放暑假前启动程序（file closure），争取 9 月优先审议。市场预测 2026 年通过概率降至 16%。
宏观经济利好币市：
非农数据爆冷：7 月新增就业为 -23K（预期 +80K），5-6 月数据下修超 10 万，显示就业市场疲软。
降息预期升温：9 月美联储降息概率从 70% 降至 44.4% 以下，利空出尽利好风险资产，比特币与以太坊上周表现强劲。
通胀数据关注：8 月 12 日将公布美国 CPI，若核心通胀低于 2.5%，反弹可能延续；反之市场情绪可能反转。
资金流向：
ETF 净流入：比特币 ETF 连续 5 天净流入，日均超 1-2 亿美元；以太坊 ETF 4 天为正。
真实资产上链（RWA）：主流公链持续流入，币安 B-Stocks 成为热门，前八大上链股票包括 Securitize、MicroStrategy (MSTR)、闪迪、SpaceX 等，半数集中在币安平台。
名人观点：Jim Cramer 宣布清仓比特币，称量子计算机将在 3-4 年内破解比特币。鉴于其历史“反向指标”属性（如看空特斯拉后暴涨），市场对此反应积极。