比特幣錢包重大漏洞在25分鐘內捲走594 BTC

Coldcard 隨機數缺陷將「不可能猜到」的種子變為可猜測的種子——3,800萬美元已經不見了。

攻擊者利用特定 Coldcard 硬體錢包生成加密金鑰方式的缺陷，在不到30分鐘內從約500個單一簽名錢包中竊取了大約594枚比特幣——價值約3,800萬美元。隨機數生成失敗是加密貨幣漏洞中最隱蔽的一類：錢包繼續正常運作，資金看似安全，且沒有可見的錯誤——然而任何發現該缺陷的人都可以默默計算出私鑰並隨意提取資金，有時甚至是數年之後。

該漏洞於2021年3月在 Coldcard 韌體4.0.0中引入，導致受影響的裝置跳過硬體隨機數產生器，轉而回退至以非機密晶片資料作為種子的可預測軟體金鑰生成。

Coldcard 的加拿大製造商 Coinkite 已警告在運行韌體版本4.0.1或更新版本的 Mk3 裝置上建立錢包種子的使用者。該公司強調，根據初步分析，其 Mk4、Q 和 Mk5 型號似乎未受影響。此次竊盜事件對比特幣的市場價格幾乎沒有產生明顯影響。

攻擊如何展開

大約594枚比特幣，價值約3,800萬美元，在週五01:31至01:56 UTC之間從約500個獨立錢包中被捲走。該攻擊已被追溯至 Coldcard 的金鑰生成缺陷。

此次竊盜在三個區塊的時間窗口內透過500筆交易轉移了1,324個比特幣區塊。其中562 BTC被合併到一個此後未曾移動的單一位址。該合併位址可在 mempool.space 上查看。

每個被清空的錢包都是單一簽名的，且每個都持有超過0.15 BTC。許多錢包已閒置多年，幣齡跨度從2021年到2026年——幾乎與該缺陷的引入日期完全吻合。

根本原因

Coldcard 是由 Coinkite 打造的硬體錢包，是一種獨立裝置，旨在離線儲存比特幣私鑰，與連接網際網路的電腦隔離。Mk2、Mk3、Mk4、Q 和 Mk5 是該產品的連續世代，在數年間陸續推出。

暴露風險取決於錢包種子首次建立時裝置上運行的韌體版本——而非硬體購買的時間。

錢包的種子，即控制資金的秘密恢復短語，其設計目的是從一個天文數字般龐大的可能性池中隨機抽取，使暴力破解在計算上毫無希望。然而，Coldcard 的韌體並未達到這一標準。

根據 Block 比特幣工程與安全團隊發布的報告，一個建置時的設定指示裝置跳過其專用的硬體隨機數產生器。支援庫中的一項檢查僅測試該設定是否存在——而非測試它是否實際被開啟。

結果，金鑰生成悄悄回退到以晶片序號和時脈暫存器為種子的基本軟體替代方案。這兩個值都不構成機密：序號是固定的出廠元資料，而時脈值是攻擊者可以在自己的裝置上縮小範圍或測量的計時狀態。

Block 將此變更追溯至2021年3月1日的一個提交，該提交在當月隨韌體4.0.0發布。這一故障模式讓人回想起2013年的一起著名事件，當時 Android 的 SecureRandom 實作中的缺陷使攻擊者能夠預測在受影響的 Android 裝置上生成的比特幣錢包私鑰，促使錢包開發者發出緊急警告。

披露與回應

Coinkite 在其官方部落格上發布警告，建議在運行版本4.0.1或更新版本的 Mk3 上生成種子的使用者採取行動。該公司表示：「根據我們的初步分析，Mk4、Q 和 Mk5 未受影響。」受影響使用者的標準做法是立即在運行未受影響韌體的裝置上生成新種子，並將所有資金轉移到新錢包。

Block 表示已直接向 Coinkite 披露其發現，Coinkite 團隊承認了該漏洞。兩家公司都將其分析描述為初步的。Block 指出，由於主動攻擊已經在進行中，其在未完成完整可利用性測試的情況下就發布了報告。

超出錢包種子的影響範圍

暴露範圍超越了標準錢包種子。同一個有缺陷的隨機數產生器也被用於生成 Coldcard 的紙錢包私鑰——在這種情況下，輸出直接成為金鑰，沒有進一步的推導——以及種子分割遮罩、裝置複製金鑰和 Key Teleport 傳輸。受影響功能的廣泛性意味著，在受影響的 Mk3 裝置上依賴這些功能中任何一項的使用者也可能面臨風險，即使他們從未使用過標準錢包種子。

比特幣在亞洲早盤交易時段交易價格超過64,000美元，大規模的錢包清空似乎對整體市場幾乎沒有產生影響。

來源：CoinDesk