八年的比特币储蓄在十五分钟内消失。硬件制造商的错误已造成1367 BTC损失

Reddit上r/Bitcoin的用户DuckDuckMoss分享了他的故事。他表示，由于硬件钱包软件的错误，他损失了自己储存了八年的2 BTC。这条帖子是自7月30日以来网络上出现的数百个类似故事之一，当时一名不明身份的攻击者开始清空在Coldcard设备上创建的钱包。根据Galaxy Research的计算，受害者的账户中已经消失了1367 BTC，约合8860万美元。

重要事实

• 问题源于Coldcard软件中的集成错误，自2021年3月以来，该错误导致生成种子短语的过程转向了一个可预测的伪随机数生成器。
• Mk3型号的种子本应有128位熵，但实际上只有约40位，而Mk4、Mk5和Q型号的种子则约有72位。
• 三波攻击涉及4585个地址，盗取了1367 BTC，目前尚未动用。
• Coinkite为所有型号发布了紧急软件更新，但该更新无法修复之前生成的种子。
• 关于个人投资者是否应该自行管理私钥的争论再次浮出水面。

2021年3月的一行代码引发危机

Coldcard是加拿大公司Coinkite生产的硬件钱包，仅支持比特币，并且多年来被视为最苛刻用户的设备。其软件基于修改过的MicroPython运行。在生产板的配置中，制造商故意禁用了内置的硬件随机数生成器，因为他们有自己的实现。问题在于，libngu库仅检查相应的标志是否存在，而不检查其值。编译过程没有警告，而获取随机性的功能则进入了继承自MicroPython的程序备用路径。

这个备用生成器在第一次调用时初始化，基于芯片的序列号和时钟状态。这些值都不是加密秘密。序列号是固定的，甚至在设备的USB标识符中部分可见，而时间寄存器的可能性也有限。Block的安全团队在关于Coldcard固件中紧急生成器的技术报告中发布了详细的重建。

该更改于2021年3月1日进入代码库，并于3月17日与4.0.0版本一起发布。所有被清空的地址均在此日期之后创建。攻击者无需接触任何设备，只需在自己处重建可能的随机流，导出地址并与公共区块链进行比较。

三波攻击和4585个地址

第一次清理钱包的时间是7月30日波兰时间3:10到3:51，涉及九个区块。Chainalysis计算出，在最初的十分钟内，超过3000万美元消失，最大的单一受害者损失约180万美元。最初的估计显示有594 BTC来自不到500个钱包。Galaxy Research的后续分析将这一数字提高到1082，随后是1158，直到8月1日发现第三波攻击，从1912个地址中又提取了207.73 BTC。这次攻击者瞄准了几千美元的余额，满足于“小额资金”。

被盗资金仍然静静地躺在攻击者的地址上。分析师指出，所有交易都具有相同的手续费，并且没有生成找零，这使得它们可以被归类，但这本身并不能证明什么。无论是小偷还是所有者进行的批量转账，看起来都是一样的。

Firma Coinkite于7月30日发布了相关警告，次日发布了所有型号和两个发布路径的修订版软件。然而，制造商在官方安全公告中指出：此次更新仅保护新的种子，并不修复已创建的种子。那些在创建钱包时添加了至少50个诚实的、未记录的骰子投掷的人是安全的。强大且独特的BIP-39密码创建了一个单独的钱包，确实增加了难度，但制造商仍建议进行迁移。多重签名仅在法定人数不完全由易受攻击的设备组成时才提供保护。TAPSIGNER、OPENDIME和SATSCARD卡使用不同的代码，不受此问题影响。

普通投资者应该注意自己的私钥吗？

Coinkite的首席执行官Rodolfo Novak向用户道歉，并对错误承担责任，承认内部代码审查未能发现该问题。他暗示，漏洞可能是由通过旧版本开放固件的人工智能发现的。几周前，公司自己将相同的代码通过了其中一个最佳可用模型，但没有收到任何警告信号。然而，一些研究人员认为，AI的讨论分散了对普通工程失误的注意，而这本应在多年前的密钥生成审计中被发现。

行业反应强烈。评论员Guy Swann称这是比特币历史上对那些正确保护自己的人所造成的最痛苦的打击，因为这次不是涉及热钱包的交易所，而是成千上万的私人钱包。ARK Invest的Lorenzo Valente直言，客户将对手风险转变为软件、硬件、供应链和自身错误的风险。Casa公司的Nick Neuman指出制造商的建议本身，因为对绝大多数用户来说，添加50个骰子投掷是不切实际的。Amicus的David Lawrence补充道，经历这样的事件后，新投资者将选择ETF和受监管的受托人。

正是这样的结论让Reddit上的一位作者感到遗憾，他后悔在基金启动时没有购买投资基金的单位。由于他没有提供设备型号或软件版本，没人公开验证他的个案。Galaxy Research则警告，受害者名单可能还会增加。漏洞已经公开，而一些易受攻击的种子持有者仍未转移资金。