多签加密货币钱包 Vultisig 表示，2025 年 8 月发布的一次更新已解决其软件中的私钥漏洞。该公司尚未公开披露哪些版本受到影响、何种条件可能触发该漏洞，以及补丁发布前是否有用户资金受损。

据 CryptoSlate 报道，该问题是一次严重的私钥泄露，已被 8 月的更新阻止。此类问题的风险极高：私钥相当于任何加密货币钱包的主密码，掌握私钥的人即可完全控制钱包中的资金，这使其成为钱包提供商可能面临的最严重漏洞之一。

除了将修复归功于 8 月发布的更新之外，Vultisig 尚未发布公开安全公告。截至发稿，没有 CVE 编号、没有受影响版本范围，也没有确认修复范围的技术说明。CVE 编号是软件行业通用的标准化体系，用于收录公开披露的漏洞，为用户和安全团队提供统一的参考依据，以核实自身安装的版本是否受到影响。

为什么私钥漏洞如此严重

私钥是创建加密货币钱包时生成的一长串字符。它类似于保险箱的密码：任何知道密码的人都可以打开保险箱并取走其中的一切。在最坏的情况下，泄露或暴露私钥的漏洞可能使攻击者在用户没有任何过失的情况下清空钱包。

Vultisig 基于多方计算（MPC）技术构建，其设计中没有任何单一设备持有完整的私钥。相反，私钥被拆分为多个"份额"分散存储在多台设备上，以降低任何单点故障暴露完整私钥的风险。此类系统中的漏洞可能涉及签名操作过程中对密钥份额的不当处理，不过 Vultisig 在本文所审查的公开披露中并未确认具体机制。

此类钱包安全漏洞并非 Vultisig 独有。今年早些时候，Electrum 修复了一个允许恶意服务器协助窃取比特币的漏洞，而一起 Solana 交易机器人攻击事件中，攻击者利用私钥存储方式的缺陷，从 49 个钱包中盗取了近 100 万美元。这些事件的共同点在于私钥材料的处理——在钱包软件中，这一环节的缺陷最直接地转化为用户资金的损失。

Vultisig 用户现在应该做什么

对于 Vultisig 用户而言，最重要的步骤是确认自己运行的是应用的最新版本。更新应从应用商店或 Vultisig 官方网站获取——切勿从第三方网站、非官方应用商店或社交媒体消息中的链接下载。

用户还应查看 Vultisig 的官方更新说明，或其网站及经过认证的社交媒体渠道上发布的安全通告。这些文件应说明哪些版本包含该漏洞，并确认哪个版本包含修复。如果找不到相关信息，用户应在确认自身安装安全之前，通过官方渠道直接联系 Vultisig 支持。

一般而言，切勿向任何人分享助记词或任何私钥材料，包括自称来自 Vultisig 队的人。正规的钱包提供商绝不会索取此类信息。任何人以紧急安全问题为由联系用户并要求提供种子短语的，都是诈骗行为，而非正常的技术支持。

关于基础设施漏洞如何扩散的更广泛背景，GMO Trading 云端泄露事件导致超过 26,000 台服务器面临风险，这提醒人们攻击面并不局限于钱包应用本身。

仍不明朗的问题

多项重要细节尚未在公开披露中得到确认。Vultisig 尚未说明哪些具体版本存在漏洞、该漏洞是否需要用户执行特定操作才能触发，以及补丁发布前是否有钱包遭到利用。公司也未透露该漏洞是由内部发现还是由外部安全研究人员报告。

接下来值得关注的披露包括：附带 CVE 编号的正式安全公告、受影响版本范围的公布，以及是否有钱包受到影响的说明。在 Vultisig 发布正式安全公告之前，用户应将 8 月的更新视为必装而非可选，并尽快核实自己的安装状态。

免责声明：本文仅供参考，不构成财务或投资建议。加密货币及数字资产市场存在重大风险。在做出决策之前，请务必自行研究。