韩国比特币(BTC)用户躲过1,596枚BTC的Coldcard漏洞攻击

比特币新闻

韩国比特币社区在此次Coldcard硬件钱包漏洞事件中几乎未受波及。截至2026年8月6日,COINOTAG审阅的分析师观察数据显示,该漏洞通过弱随机数生成的助记词实施盗取,累计造成1,596枚BTC损失,英语圈资深自托管用户受冲击最为严重——尽管他们选择Coldcard正是看中其离线设计。比特币(BTC)研究者Koji Higashi指出,韩国用户之所以幸免,核心原因在于他们的操作习惯从不依赖设备制造商内置的随机数生成器。多年来,韩国本土教育者持续倡导持有者在完全离网环境下,通过掷骰子或抛硬币等物理方式手动生成熵值,再据此推导助记词。这一根深蒂固的安全惯例,在部分Coldcard设备暴露出随机数缺陷时,转化为一道切实有效的防线。Higashi还提到一个不那么技术性的因素:韩国评论者普遍与硬件厂商不存在商业关联,因此更敢于质疑产品宣传。相比之下,其他社区中赞助关系和意识形态认同削弱了独立审视的能力,品牌忠诚取代了验证,形成回音室效应。Higashi深耕该生态逾十年,他认为对人类偏见与激励机制的清醒认知才是决定性的生存技能。这一事件也构成了一个罕见案例:保守的低技术手段跑赢了精密的硬件设备。

对比特币持有者而言,此次事件的核心故障在于熵——即决定钱包助记词的随机性。当随机性不足时,攻击者可以重建助记词并转走资金。本次事件中,部分Coldcard设备的随机数生成存在缺陷,导致多轮盗取成为可能。链上数据显示,超过1,596枚BTC从约7,300个地址中被转出,涉及三波已确认的攻击,加上更多小规模事件和疑似案例,估计总影响接近1.3亿美元。在钱包制造商采取措施遏制损害之前,一波潜在的第四轮攻击又新增了更多疑似受害者。Coldcard在官方回应中表示,已销毁剩余的存在漏洞的库存,并敦促用户创建全新的助记词。而韩国持有者早已走在一条更为严格的路径上。社区指南详细描述了抛硬币128次或256次以生成12词或24词助记词的流程,随后使用独立计算器而非手机将二进制值转换为十进制。部分用户还会审计打印的BIP39词表,并将所有联网设备完全排除在流程之外。SeedSigner设备仅用于校验和验证,而非作为熵的来源。这种刻意的分离设计消除了跨数千个钱包的单点故障。尽管操作繁琐,但正是这种「摩擦力」确保了助记词不依赖于存在隐患的硬件随机源。

这种分化并非简单的技术能力差异。许多受影响的用户在自托管领域经验丰富,且很早就因Coldcard的气隙特性而采用该冷钱包设备。然而攻击揭示了一个深层问题:信息流的同质化可以在数千个独立钱包间同时集中风险。分析师Koji Higashi指出,对网红博主的过度依赖——其中一些与设备制造商存在赞助或密切关系——助长了用户对安全声明的盲目信心。共同的意识形态认同进一步强化了产品推荐,而鲜有用户进行独立测试。相比之下,韩国社区领袖以相对中立的立场运作,与厂商没有直接商业纠葛,因此能够更清晰地评估风险,并发布追随者真正会执行的指导。他们的建议将厂商生成的随机数默认视为不可信,并尽可能推荐物理熵方法。这一教训超越了韩国,也超越了单一设备。比特币那句广为人知的原则——「不要信任,要验证」——同样适用于信息来源,而不仅仅是软件代码。对于任何数字资产的持有者,无论是比特币还是山寨币,实操规则都很明确:在可行时手动生成助记词熵,保持恢复步骤离线,并假定硬件随机数需要独立验证。这种方法即使在热门产品意外失效时也能保护用户,同时降低可信品牌沦为单点故障的概率。

COINOTAG的分析将上述要点与一手记录进行了交叉比对。链上数据将已确认的盗取归因于缺陷硬件随机数生成的弱助记词,1,596枚BTC从约7,300个地址中分三波被转走。厂商的官方事件响应将根本原因定位为一项2021年的构建错误,该错误在多年间持续削弱设备的随机数生成能力;厂商已销毁剩余漏洞库存,并告知用户迁移至全新助记词。补救措施可通过公开声明和链上交易记录加以验证,而疑似的第四波损失尚未获得确认。对比特币(BTC)用户而言,证据支持一个强硬的结论:熵的生成必须可独立审计,而非想当然地假定安全。这一点在任何市场阶段都至关重要,无论熊市还是历史最高价时期。