硬體錢包

ChainCatcher 消息，据 Ark Invest Tracker 報導，Ark Invest 表示 AI 黑客攻擊正波及一切。風險遠不止比特幣，因為 AI 使軟體漏洞更容易被發現和利用。比特幣和硬體錢包可能最先受到衝擊，但社交媒體、稅務和銀行網站也可能面臨同樣威脅。信任一個大品牌，仍意味著信任該公司在 AI 日益強大時不會犯錯。ARK 預計大型托管機構也將成為目標，AI 可能以前所未有的速度發現並利用漏洞。

ChainCatcher 消息，瑞士比特幣硬體錢包製造商 BitBox 宣布，任何 BitBox 硬體錢包用戶都可在移動端 BitBoxApp 內創建閃電網絡熱錢包，直接從鏈上餘額充值並支付發票，無需在多個應用、錢包或第三方服務之間切換。該閃電錢包由用戶已有的 BitBox 備份派生，無需記錄新的助記詞，兩個錢包保持獨立。閃電網絡側作為熱錢包運行，面向小額與日常支付場景，如咖啡、發票與快速轉帳，長期儲蓄仍由硬體設備保管。在 BitBoxApp 內，用戶可掃描並支付閃電發票、收發比特幣、領取專屬閃電地址、從鏈上錢包充值，並可再次將資金轉回。該功能基於 Breez SDK 構建，BitBox 因此成為 Breez 超過 100 家集成合作夥伴之一。底層由 Spark 提供支持，用戶無需運行節點、開設通道或管理流動性，資金始終由用戶自行保管。Breez 於 8 月推出開發者應用 Glow，幫助開發者了解閃電錢包的運行情況並構建自有產品。

ChainCatcher 消息，比特幣硬體錢包製造商 Trezor 警告稱，其用於發送新聞通訊的第三方行銷平台 Brevo 發生資料洩漏，攻擊者利用該平台向 34.7 萬 Trezor 客戶發送了釣魚郵件。攻擊者藉助 Trezor 的域名發送郵件，使釣魚嘗試更具迷惑性，郵件內含惡意連結，誘導用戶下載應用並輸入錢包備份。Trezor 表示，已在 20 分鐘內於 DNS 層面關閉該域名，阻止連結繼續生效，但此前已有約 2500 人點擊。Trezor 已暫停 Brevo 帳戶以阻止郵件繼續發送，並強調除該行銷平台外，其他 Trezor 系統未受影響，同時提醒用戶 Trezor 從不要求客戶提供錢包備份。此次事件之前，Trezor 上月披露其第三方履約合作夥伴 ShipMonk 遭攻擊，導致 11742 名客戶資料洩漏；上週又表示另有 6.7 萬名美國客戶的姓名、郵箱、電話、收貨地址及訂單號在洩漏中曝光。今年以來，加密貨幣錢包 Ledger 的支付處理商 Global-e 及錢包提供商 SafePal 也相繼發生資料洩漏，SafePal 約 3.98 萬客戶的訂單資訊遭未授權訪問。

ChainCatcher 消息，以太坊基金會在 X 平台發文稱，Trezor 硬體錢包現已通過 ERC-7730 標準支持"清晰簽名"（Clear Signing）功能，使交易在硬體設備上更可讀、更易理解。該進展是該基金會"萬億美元安全倡議"下清晰簽名工作組推動的成果，旨在減少用戶因"盲簽"不明交易而遭受資產損失的風險，並鼓勵更多錢包和去中心化應用參與其中。

ChainCatcher 消息，硬體錢包製造商 Ledger 與 Trezor 呼籲安全研究人員採取更負責任的漏洞披露方式。Ledger 首席技術官 Charles Guillemet 在 X 平台發文稱，人工智慧使漏洞更容易被發現和利用，但部分研究人員在修復方案發布前就公開細節，他將這種做法稱為"利用他人風險博取關注"。Guillemet 敦促研究人員先私下報告漏洞，並就修復時間表達成一致後再公開細節，他以 90 天作為常見默認期限，同時表示可根據漏洞嚴重程度和修復所需工作量靈活調整。Trezor 安全主管 Jan Komárek 對 Cointelegraph 表示，90 天是對廠商的承諾，而不僅僅是研究人員的義務。他建議研究人員先聯繫廠商、商定時間表，若廠商未能在該期限內完成修復，則可選擇公開披露。此番表態的背景是硬體錢包安全性近期受到密切關注：Coldcard 被盜事件涉及金額超過 1 億美元，Trezor 的物流供應商數據洩露也影響了數萬名客戶的個人資訊。

ChainCatcher 消息，硬體錢包廠商 Trezor 更新其物流合作商 ShipMonk 資料洩露事件進展，稱此前披露的洩露規模被低估，另有約 6.7 萬名 2019 年 11 月至 2021 年 8 月期間下單的美國用戶資訊遭完整洩露，涉及姓名、電子郵件、電話、收貨地址及訂單號。Trezor 表示，此前曾與 ShipMonk 多次確認相關資料已按合同和資料政策刪除並收到書面保證，但對方系統中實際並未刪除。Trezor 稱其自身系統未受影響，硬體錢包仍然安全，但受影響用戶可能面臨更多針對性釣魚攻擊風險，所有受影響用戶均已通過電子郵件單獨通知。此次事件最早於 8 月 13 日披露，當時影響約 1.37 萬名用戶。Trezor 表示正加快推出匿名收貨服務，以降低用戶下單時的資訊暴露風險。

ChainCatcher 消息，開源錢包提供商 OneKey 的安全團隊在實驗室環境中成功復現了針對舊版 Ledger 以太坊應用的漏洞利用。OneKey 創始人兼 CEO 王一石表示，他們透過利用一個此前已修復的漏洞，對 Ledger 以太坊應用 1.22.1 版本執行了"交易替換攻擊"，攻擊者可在用戶審核合法交易時覆蓋等待簽名的交易。Ledger 回應稱，利用該漏洞需要控制設備與主機之間的通信，例如透過惡意軟體、被入侵的錢包軟體或惡意網頁實現。Ledger 已於 8 月 13 日發布的以太坊應用 1.22.2 中增加應用層防護，並於 8 月 21 日在 Secure SDK 26.6.1 中修復底層問題。Ledger 強調，沒有用戶因此遭到駭客攻擊，此次僅為實驗室環境下的漏洞復現。此次安全測試發生在 Coldcard 漏洞事件之後。此前 Coldcard 錢包因固件漏洞導致部分助記詞生成存在安全隱患，但 Ledger 表示其設備未受該漏洞影響，因為恢復短語由設備安全晶片內置的認證隨機源生成。OneKey 復現的漏洞與助記詞生成無關，而是影響簽名過程中交易的處理方式。

ChainCatcher 消息，据 Bitcoin News 報導，Sparrow Wallet v2.5.4 經過廣泛的 AI 輔助審查後發布，包含多項安全強化更新，旨在減少用戶對 Electrum 等外部伺服器的信任依賴。此外，該版本還強化 Ledger、Keycard、Trezor、Payjoin、PSBT 及多重簽名處理，刪除調試日誌中的 Bitcoin Core 憑證及其他機密信息，將現有錢包和備份目錄權限限制為僅所有者可訪問，關閉使用 Tor 時殘留的本地 DNS 解析洩露，並加強錢包導入、簽名、下載及伺服器響應驗證。該更新擴大了 Sparrow Wallet 對交易數據、硬體設備及其他輸入進行獨立驗證的範圍，減少對外部伺服器提供數據的依賴。

ChainCatcher 消息，Coinkite 旗下硬體錢包 Coldcard 被曝存在嚴重熵漏洞，該漏洞自 2021 年起未被發現，導致超過 1 億美元比特幣被盜，受害者多為使用單一助記詞錢包的用戶。弱熵使得攻擊者能夠通過定制化手段猜測私鑰，這一事件促使比特幣社區重新審視單簽自托管的可靠性。在此背景下，多廠商多簽（Multi-vendor Multisig）方案正成為長期持有者推薦的新托管基線。該方案要求用戶使用來自不同錢包廠商的密鑰構建多簽地址，例如 Trezor Safe 7、Ledger Nano 與 Casa 恢復密鑰組成 2-of-3 多簽，從而降低對單一硬體廠商的信任依賴。多簽還能抵禦扳手攻擊，並催生了 AnchorWatch 等以 BTC 計價的比特幣保險服務。不過多簽也存在缺點，用戶除需保管閾值密鑰外，還需保存多簽腳本或模板副本，以便在錢包服務離線時獨立恢復資金。

ChainCatcher 消息，Coldcard 硬體錢包韌體漏洞遭利用後，約 2,100 枚比特幣被盜，損失接近 1.3 億美元。鏈上數據顯示，事件前後數日長期持有者錢包轉出約 23.3 萬枚比特幣，價值約 150 億美元。Casa 首席執行官 Nick Neuman 表示，部分轉出資金來自 Coldcard 用戶遷移至多簽錢包，也有 Ledger 和 Trezor 用戶在事件後採取相同措施。同期約 2.2 萬枚比特幣轉入交易所。Coinkite 已要求使用 4.1 至 4.1.9 版本韌體生成助記詞的用戶，將相關錢包視為已被攻破，並立即遷移至新助記詞。上述版本覆蓋 2021 年 3 月至 2026 年 7 月。

ChainCatcher 消息，据 Decrypt 报道，Ledger 首席技術官 Charles Guillemet 表示，Coldcard 漏洞事件暴露了硬體錢包隨機數生成的弱點，並強調 AI 正重塑網路安全攻防格局。Guillemet 指出，硬體錢包的安全模型"生死取決於隨機數"，此次事件以最昂貴的方式證明了這一點。Ledger 表示其硬體錢包未受影響，因其助記詞由通過認證的安全元件內的硬體隨機數生成器生成，無軟體回退路徑，每次生成完整的 256 位隨機數。Guillemet 認為，開源代碼若未經充分審查並不等同於安全，AI 正使攻擊者能以機器速度掃描代碼和識別漏洞，防禦也必須以同樣速度推進，這需要依賴安全設計、硬體和數學。Guillemet 建議用戶在選擇硬體錢包時應了解其隨機數生成方式及是否經過獨立認證。

ChainCatcher 消息，Coldcard 硬體錢包攻擊已擴大至約 1.16 億美元，攻擊者從 5200 多個地址轉走 1816 枚 BTC。Galaxy Research 確認，出現第四波轉帳，修正後該波單獨轉走約 449 枚 BTC。Galaxy Research 負責人 Alex Thorn 表示，最新活動可能是「第四輪有組織盜竊」，轉帳速率達到每個區塊 13.8 筆，為事發前基準水平約 45 倍。其分析認為，相關模式顯示多個團體可能並行掃描受影響金鑰空間。事件根源被追溯至 2021 年 Coldcard 部分設備韌體更新，該更新將錢包種子生成流程從硬體隨機源改為可預測的軟體模式。加拿大製造商 Coinkite 建議，曾在 Coldcard 設備上生成錢包種子的用戶儘快將資金轉至新安全錢包。

ChainCatcher 消息，幣安聯合創始人 CZ 在 X 平台轉發用戶 Rager 關於硬體錢包故障的經歷。CZ 表示，保護錢包備份助記詞（seed phrase）是一項極具挑戰的任務。助記詞不能被他人看到，否則可能被複製或利用，也不能因火災、洪水等意外損毀，同時還需要防止駭客獲取訪問權限。更重要的是，用戶自己也不能遺失助記詞。

ChainCatcher 消息，Strive 副總裁 Joe Burnett 在 X 平台發文表示，近期可能是比特幣歷史上最糟糕的幾週之一。許多人購買了受認可的硬體錢包、離線生成助記詞並遵循既定最佳實踐，但仍因影響 COLDCARDwallet 自 2021 年 3 月及之後生成助記詞的漏洞而損失大量比特幣。該漏洞超過 5 年未被發現。Joe Burnett 表示，這將永久改變人們對自托管的信心。自托管仍會存在，但已經永久改變。對於希望直接掌控大量比特幣的人，標準應是多供應商多簽，密鑰應使用不同硬體和不同軟體獨立生成，並存放在不同物理位置。如果無法接受這種方式，則應使用機構級托管方。Joe Burnett 稱，當前比特幣採用浪潮正透過 ETF、財庫公司和機構托管方發生，主要來自無意成為私鑰生成、硬體安全、固件、備份、繼承規劃和物理存儲專家的群體。由單個硬體錢包生成的一把密鑰保護大量比特幣，存在過高集中風險。Joe Burnett 還表示，機構托管可能最終使過多比特幣集中於大型公司手中，從而產生審查、扣押和沒收風險。但比特幣的可攜帶性和結算屬性提供了關鍵制衡，用戶可以創建錢包並要求托管方發送比特幣，在數分鐘內從交易對手風險轉為直接所有權。Joe Burnett 認為，只要比特幣本身仍然安全，某一種托管方式的失敗並不會否定底層貨幣系統，而是迫使市場開發更好的工具、更強標準和更具韌性的托管架構。本週最終可能標誌著比特幣托管一個時代的結束，以及下一輪比特幣採用浪潮的開始。

ChainCatcher 消息，趙長鵬在 X 平台發文表示，針對 Coldcard 錢包疑似漏洞導致超 3800 萬美元比特幣被盜事件，即使是硬體錢包也可能存在漏洞。即使是歷史悠久的錢包也可能存在漏洞。為了降低風險，可以考慮把資金分散到幾個錢包之中，但這又會帶來另一套風險。沒有什麼是 100% 安全的。

ChainCatcher 消息，慢霧餘弦在 X 平台發文表示，COLDCARD 硬體錢包弱隨機數安全事件中，如果助記詞使用了 Passphrase，可以避開此次攻擊。Passphrase 不是錢包解鎖 PIN 碼，而是專門為助記詞設置的密碼，主流硬體錢包均支持該機制。

ChainCatcher 消息，加拿大硬體錢包廠商 Coinkite 發布安全警告，建議使用 Coldcard Mk3 且在固件 4.1 至 5.3 版本生成助記詞的用戶儘快遷移資產。公司表示，初步分析顯示，使用 BIP-39 密碼短語（Passphrase）的钱包風險較低，Mk4、Q 及 Mk5 設備不受影響，目前調查仍在進行中。與此同時，安全研究人員正調查一起涉及 594.48 枚 BTC（約 3830 萬美元）的異常轉移事件。AnchorWatch CEO Rob Hamilton 表示，攻擊者在 3 個區塊內透過 500 筆交易轉移了 1324 個 UTXO，並推測問題可能源於錢包生成過程中隨機數熵不足。Wizardsardine CEO Kevin Loaec 則認為，漏洞可能與某一軟體庫、安全晶片或特定設備批次、固件版本的低熵隨機數生成器有關，攻擊者或利用 AI 生成腳本暴力破解受影響錢包。目前尚無確鑿證據證明此次資金轉移與 Coldcard Mk3 漏洞存在直接關聯。

ChainCatcher 消息，据 The Block 报道，Trezor 首席商務官 Danny Sanders 反駁了區塊鏈調查員 ZachXBT 近期對加密硬體錢包的批評。ZachXBT 本週早些時候在 Telegram 上發帖稱："所有硬體錢包都是徹頭徹尾的垃圾，不建議用它們來執行諸如簽署交易或存儲資金等重要任務"，並建議用戶使用專門的 iPhone 來存儲資金和簽署交易。對此，Sanders 在一檔訪談節目中，承認硬體錢包的固件/軟體更新有時會干擾緊急或大額交易，用戶體驗確實"笨拙"，並理解用戶的挫敗感。但反對 ZachXBT 的一概而論：硬體錢包對管理巨額資金的高階用戶可能不是最佳單一方案，但並非垃圾。其指出，與硬體錢包相比，iPhone 的操作系統和連接功能會帶來更多的"攻擊風險"。對於普通加密用戶，硬體錢包仍是目前最好的自我托管方式。

ChainCatcher 消息，Ledger 研究人員發現，通過激光攻擊可重置所有 Tangem 硬體錢包卡片上的密碼。該攻擊需要物理接觸設備，並需約 25 萬美元的實驗室設備，且已流通的卡片無法通過補丁修復。

ChainCatcher 消息，美國佛羅里達州一名男子因涉嫌利用前雇主硬體錢包的助記詞，盜取價值約 190 萬美元的比特幣而被捕。警方稱，被盜資金的未經授權轉帳發生於 2020 年，當時嫌疑人仍可接觸關鍵安全資訊。