Coldcard 钱包的隐藏漏洞如何导致 8860 万美元的 Bitcoin 盗窃案

Coldcard 是一款面向资深 Bitcoin 用户的硬件钱包。它仅支持 Bitcoin，可以离线保存，并使用开源软件。它在 Canada 组装，旨在确保用户的 Bitcoin 安全。

但从 March 2021 开始，一些 Coldcard 设备使用设备的序列号和内部时钟，而不是专门用于生成随机数的芯片来生成客户的私钥。这使得密钥更容易被预测。

在 July 30，一名攻击者在短短 25 分钟内从大约 500 个非活跃钱包中窃取了 594 Bitcoin。Galaxy Research 随后将更广泛的盗窃行为与跨越 1,196 个地址的 1,082 Bitcoin 联系起来。到 August 2，总数已达到近 1,367 Bitcoin，价值约 $88.6 million。

攻击者不需要物理接触钱包。Coldcard 的软件代码是公开的，Bitcoin 区块链上的信息也是公开的。

攻击者似乎花了数周时间来计算故障软件可能生成的密钥。然后，这些密钥可以与持有资金的 Bitcoin 地址进行匹配。一旦确定了有漏洞的钱包，攻击者就能够转移 Bitcoin。盗窃过程本身仅用了 25 分钟。

漏洞解析

这种缺陷比“bug”一词所暗示的更令人尴尬。Coldcard 不信任其构建软件中的通用随机性，因此它封装了芯片自身的硬件生成器并关闭了内置的生成器。但支持库中的安全检查未能检测到内置生成器已被禁用。种子生成退回到软件备选方案，该方案从序列号和时钟中获取它能获得的随机性，并且再也没有收集任何新的随机性。种子本应携带 128 bits 的熵。在 Mk3 上，它只携带了大约 40 bits。

用物理术语来说，锁具制造商宣传有一百万种组合。工厂缺陷意味着一批生产的产品只能落在其中大约一千种组合上。锁仍然可以转动，外观与货架上的其他锁完全一样。所有者无法察觉。窃贼只需要知道是哪一千种。

Bitcoin 底层的椭圆曲线数学从未被破解。被破解的是为其提供输入的随机性。

影响范围也比被转移的代币更广。种子不是 Bitcoin 对象；它只是熵。它还可以为其他系统生成地址和密钥。任何将 Coldcard 种子带入多链钱包的人，都在不同的赌桌上使用同样的破损骰子。

Coinkite，这家位于 Canada 的设备背后的公司，已经发布了关于出错原因的说明。在盗窃发生前几周，该公司在这段特定的代码上运行了目前最先进的 AI 模型之一，以寻找安全问题。审查结果显示没有问题。该公司还认为，这正是攻击者发现漏洞的方式，因为固件一直是开源的。双方都拥有同样的工具。但它只对其中一方奏效了。

这一事件凸显了 AI-assisted security 的一个重要问题。防御者要求模型审查代码库，需要它发现每一个严重的漏洞。攻击者要求它找到一条可利用的路径，并且可以承受任何数量的错误答案，因为他只需要一个正确的答案。防御必须处处正确。进攻只需要正确一次。廉价的代码审查并没有缓解这种不对称性——反而加速了它。