多重簽名加密貨幣錢包開發商 Vultisig 表示，2025 年 8 月發布的一項更新已解決其軟體中的私鑰漏洞。該公司尚未公開透露哪些版本受到影響、什麼條件可能觸發該漏洞，或修復程式發布前是否有任何用戶資金遭到損害。

CryptoSlate 的報導將此問題描述為一次被 8 月更新阻斷的重大私鑰洩漏事件。這一類問題的風險格外高：私鑰相當於任何加密貨幣錢包的主密碼，持有私鑰者即完全控制該錢包的資金，這使得此類漏洞成為錢包服務商可能面臨的最嚴重問題之一。

除了將修復歸功於 8 月發布的更新之外，Vultisig 尚未發布正式的安全公告。截至本文撰寫時，沒有 CVE 編號、沒有受影響的版本範圍，也沒有確認修復範圍的技術說明。CVE 編號是軟體產業用於編目已公開揭露漏洞的標準化系統，為用戶與安全團隊提供共同的參考依據，以核實自身安裝是否受到影響。

為什麼私鑰漏洞如此嚴重

私鑰是建立加密貨幣錢包時生成的一長串字元。它好比保險箱的密碼：知道密碼的任何人都能打開保險箱並取走裡面的一切。在最壞的情況下，洩漏或暴露私鑰的漏洞可能讓攻擊者在擁有者沒有任何過錯操作的情況下掏空錢包。

Vultisig 採用多方計算（MPC）技術構建，此設計下任何單一設備都不會持有完整的私鑰。相反，私鑰被分為多個「分片」並分散於多個設備上，以降低任何單一故障點暴露完整私鑰的風險。此類系統中的漏洞可能涉及簽名操作過程中對密鑰分片的不當處理，不過在本文審閱的公開揭露資料中，Vultisig 並未確認具體機制。

此類錢包安全缺陷並非 Vultisig 獨有。今年稍早，Electrum 修補了一個允許惡意伺服器促成比特幣竊取的漏洞，而一次 Solana 交易機器人攻擊事件中，攻擊者發現私鑰儲存方式的弱點後，從 49 個錢包中盜取了近 100 萬美元。這些事件的共同點都是私鑰材料的處理方式——這是錢包軟體中缺陷最容易直接導致用戶資金損失的環節。

Vultisig 用戶現在應該怎麼做

對 Vultisig 用戶而言，最重要的步驟是確認自己執行的是最新版本的應用程式。更新應從應用程式商店或 Vultisig 官方網站取得——切勿從第三方網站、非官方應用程式商店或社群媒體訊息中的連結下載。

用戶也應查閱 Vultisig 的官方版本發布說明，或其網站及經驗證的社群頻道上發布的任何安全通訊。這些文件預計會說明哪些版本包含該漏洞，並確認哪個版本包含修復。如果找不到相關資訊，用戶應先透過官方渠道直接聯繫 Vultisig 客服，再認定自己的安裝是安全的。

一般原則是：絕不向任何人透露您的恢復短語或任何私鑰材料，包括自稱來自 Vultisig 團隊的人員。正規的錢包服務商絕不會要求這些資訊。任何以緊急安全問題為由聯繫用戶並要求提供助記詞的人，都是在進行詐騙，而非真正的支援服務。

就基礎設施漏洞如何擴散的更廣泛背景而言，使超過 26,000 台伺服器面臨風險的 GMO Trading 雲端漏洞事件提醒我們，攻擊面不僅限於錢包應用程式本身。

尚待釐清的事項

多項重要細節尚未在公開揭露中得到確認。Vultisig 尚未說明哪些具體版本號存在漏洞、觸發漏洞是否需要用戶執行特定操作，或修補程式發布前是否有任何錢包遭到利用。該公司也沒有說明漏洞是由內部發現，還是由外部安全研究人員回報。

後續值得關注的揭露包括：附有 CVE 編號的正式安全公告、受響版本範圍的公布，以及是否有任何錢包受到影響的說明。在 Vultisig 發布正式安全公告之前，用戶應將 8 月更新視為必須安裝而非可選，並儘快核實自己的安裝狀態。

免責聲明：本文僅供參考，不構成財務或投資建議。加密貨幣及數位資產市場存在重大風險。在做決定前，請務必自行研究。