硬體錢包

ChainCatcher 消息，Coldcard 硬體錢包韌體漏洞遭利用後，約 2,100 枚比特幣被盜，損失接近 1.3 億美元。鏈上數據顯示，事件前後數日長期持有者錢包轉出約 23.3 萬枚比特幣，價值約 150 億美元。Casa 首席執行官 Nick Neuman 表示，部分轉出資金來自 Coldcard 用戶遷移至多簽錢包，也有 Ledger 和 Trezor 用戶在事件後採取相同措施。同期約 2.2 萬枚比特幣轉入交易所。Coinkite 已要求使用 4.1 至 4.1.9 版本韌體生成助記詞的用戶，將相關錢包視為已被攻破，並立即遷移至新助記詞。上述版本覆蓋 2021 年 3 月至 2026 年 7 月。

ChainCatcher 消息，据 Decrypt 报道，Ledger 首席技術官 Charles Guillemet 表示，Coldcard 漏洞事件暴露了硬體錢包隨機數生成的弱點，並強調 AI 正重塑網路安全攻防格局。Guillemet 指出，硬體錢包的安全模型"生死取決於隨機數"，此次事件以最昂貴的方式證明了這一點。Ledger 表示其硬體錢包未受影響，因其助記詞由通過認證的安全元件內的硬體隨機數生成器生成，無軟體回退路徑，每次生成完整的 256 位隨機數。Guillemet 認為，開源代碼若未經充分審查並不等同於安全，AI 正使攻擊者能以機器速度掃描代碼和識別漏洞，防禦也必須以同樣速度推進，這需要依賴安全設計、硬體和數學。Guillemet 建議用戶在選擇硬體錢包時應了解其隨機數生成方式及是否經過獨立認證。

ChainCatcher 消息，Coldcard 硬體錢包攻擊已擴大至約 1.16 億美元，攻擊者從 5200 多個地址轉走 1816 枚 BTC。Galaxy Research 確認，出現第四波轉帳，修正後該波單獨轉走約 449 枚 BTC。Galaxy Research 負責人 Alex Thorn 表示，最新活動可能是「第四輪有組織盜竊」，轉帳速率達到每個區塊 13.8 筆，為事發前基準水平約 45 倍。其分析認為，相關模式顯示多個團體可能並行掃描受影響金鑰空間。事件根源被追溯至 2021 年 Coldcard 部分設備韌體更新，該更新將錢包種子生成流程從硬體隨機源改為可預測的軟體模式。加拿大製造商 Coinkite 建議，曾在 Coldcard 設備上生成錢包種子的用戶儘快將資金轉至新安全錢包。

ChainCatcher 消息，幣安聯合創始人 CZ 在 X 平台轉發用戶 Rager 關於硬體錢包故障的經歷。CZ 表示，保護錢包備份助記詞（seed phrase）是一項極具挑戰的任務。助記詞不能被他人看到，否則可能被複製或利用，也不能因火災、洪水等意外損毀，同時還需要防止駭客獲取訪問權限。更重要的是，用戶自己也不能遺失助記詞。

ChainCatcher 消息，Strive 副總裁 Joe Burnett 在 X 平台發文表示，近期可能是比特幣歷史上最糟糕的幾週之一。許多人購買了受認可的硬體錢包、離線生成助記詞並遵循既定最佳實踐，但仍因影響 COLDCARDwallet 自 2021 年 3 月及之後生成助記詞的漏洞而損失大量比特幣。該漏洞超過 5 年未被發現。Joe Burnett 表示，這將永久改變人們對自托管的信心。自托管仍會存在，但已經永久改變。對於希望直接掌控大量比特幣的人，標準應是多供應商多簽，密鑰應使用不同硬體和不同軟體獨立生成，並存放在不同物理位置。如果無法接受這種方式，則應使用機構級托管方。Joe Burnett 稱，當前比特幣採用浪潮正透過 ETF、財庫公司和機構托管方發生，主要來自無意成為私鑰生成、硬體安全、固件、備份、繼承規劃和物理存儲專家的群體。由單個硬體錢包生成的一把密鑰保護大量比特幣，存在過高集中風險。Joe Burnett 還表示，機構托管可能最終使過多比特幣集中於大型公司手中，從而產生審查、扣押和沒收風險。但比特幣的可攜帶性和結算屬性提供了關鍵制衡，用戶可以創建錢包並要求托管方發送比特幣，在數分鐘內從交易對手風險轉為直接所有權。Joe Burnett 認為，只要比特幣本身仍然安全，某一種托管方式的失敗並不會否定底層貨幣系統，而是迫使市場開發更好的工具、更強標準和更具韌性的托管架構。本週最終可能標誌著比特幣托管一個時代的結束，以及下一輪比特幣採用浪潮的開始。

ChainCatcher 消息，趙長鵬在 X 平台發文表示，針對 Coldcard 錢包疑似漏洞導致超 3800 萬美元比特幣被盜事件，即使是硬體錢包也可能存在漏洞。即使是歷史悠久的錢包也可能存在漏洞。為了降低風險，可以考慮把資金分散到幾個錢包之中，但這又會帶來另一套風險。沒有什麼是 100% 安全的。

ChainCatcher 消息，慢霧餘弦在 X 平台發文表示，COLDCARD 硬體錢包弱隨機數安全事件中，如果助記詞使用了 Passphrase，可以避開此次攻擊。Passphrase 不是錢包解鎖 PIN 碼，而是專門為助記詞設置的密碼，主流硬體錢包均支持該機制。

ChainCatcher 消息，加拿大硬體錢包廠商 Coinkite 發布安全警告，建議使用 Coldcard Mk3 且在固件 4.1 至 5.3 版本生成助記詞的用戶儘快遷移資產。公司表示，初步分析顯示，使用 BIP-39 密碼短語（Passphrase）的钱包風險較低，Mk4、Q 及 Mk5 設備不受影響，目前調查仍在進行中。與此同時，安全研究人員正調查一起涉及 594.48 枚 BTC（約 3830 萬美元）的異常轉移事件。AnchorWatch CEO Rob Hamilton 表示，攻擊者在 3 個區塊內透過 500 筆交易轉移了 1324 個 UTXO，並推測問題可能源於錢包生成過程中隨機數熵不足。Wizardsardine CEO Kevin Loaec 則認為，漏洞可能與某一軟體庫、安全晶片或特定設備批次、固件版本的低熵隨機數生成器有關，攻擊者或利用 AI 生成腳本暴力破解受影響錢包。目前尚無確鑿證據證明此次資金轉移與 Coldcard Mk3 漏洞存在直接關聯。

ChainCatcher 消息，据 The Block 报道，Trezor 首席商務官 Danny Sanders 反駁了區塊鏈調查員 ZachXBT 近期對加密硬體錢包的批評。ZachXBT 本週早些時候在 Telegram 上發帖稱："所有硬體錢包都是徹頭徹尾的垃圾，不建議用它們來執行諸如簽署交易或存儲資金等重要任務"，並建議用戶使用專門的 iPhone 來存儲資金和簽署交易。對此，Sanders 在一檔訪談節目中，承認硬體錢包的固件/軟體更新有時會干擾緊急或大額交易，用戶體驗確實"笨拙"，並理解用戶的挫敗感。但反對 ZachXBT 的一概而論：硬體錢包對管理巨額資金的高階用戶可能不是最佳單一方案，但並非垃圾。其指出，與硬體錢包相比，iPhone 的操作系統和連接功能會帶來更多的"攻擊風險"。對於普通加密用戶，硬體錢包仍是目前最好的自我托管方式。

ChainCatcher 消息，Ledger 研究人員發現，通過激光攻擊可重置所有 Tangem 硬體錢包卡片上的密碼。該攻擊需要物理接觸設備，並需約 25 萬美元的實驗室設備，且已流通的卡片無法通過補丁修復。

ChainCatcher 消息，美國佛羅里達州一名男子因涉嫌利用前雇主硬體錢包的助記詞，盜取價值約 190 萬美元的比特幣而被捕。警方稱，被盜資金的未經授權轉帳發生於 2020 年，當時嫌疑人仍可接觸關鍵安全資訊。

ChainCatcher 消息，据 The Block 報導，比特幣硬體錢包廠商 Foundation 完成 640 萬美元新一輪融資，由 Fulgur Ventures 領投，Arche Capital 等參投，用於從比特幣自托管錢包擴展至身份、多因子認證及 AI agent 授權等場景。本輪融資使公司累計融資達 1,650 萬美元，估值及輪次結構未披露。Foundation 同時宣布旗艦設備 Passport Prime 面向所有用戶開放銷售，集成比特幣硬體錢包、FIDO 安全密鑰、2FA 存儲、機密信息保險庫及 50 GB 加密存儲，並強調通過專用硬體實現"人工授權"。此外，公司擴大 KeyOS 開發者平台開放範圍，計劃在二季度末上線 KeyOS 應用商店，首批合作方包括 Cake Wallet。

ChainCatcher 消息，据 Decrypt 報導，加密技術公司 Quantography Labs 宣布推出加密錢包 Lock.com 早期訪問版本，該產品採用 "隔離式簽名（Isolated Signing）" 與空氣隔離（Air-Gapped）架構，無需專用硬體錢包設備即可實現離線私鑰管理。官方表示，Lock.com 將簽名環境與聯網廣播環境分離：私鑰始終保存在完全離線設備中，交易則在聯網設備上創建與廣播，從而避免私鑰接觸互聯網。平台強調，用戶可直接使用現有設備，無需依賴第三方硬體廠商或供應鏈。此外，Lock.com 還集成抗量子密碼學架構，包括 ML-DSA 數字簽名與 ML-KEM 密鑰封裝機制，以提升未來量子計算環境下的安全性。Quantography Labs 稱，目前早期訪問階段主要用於收集用戶反饋，並為後續全面開放做準備。

ChainCatcher 消息，美國肯塔基州一項旨在監管加密 ATM 的法案（HB380）因新增硬體錢包相關條款引發行業爭議，批評者稱該規定可能"變相禁止自托管"。該法案原本主要針對虛擬貨幣自助終端運營商，涵蓋牌照、合規要求、交易限額及用戶保護等內容。但在最新修訂中，新增條款要求硬體錢包提供商必須"提供機制並協助用戶重置訪問憑證"，包括密碼、PIN 碼及助記詞。業內人士指出，這一要求與非托管錢包的核心設計相衝突。由於私鑰與助記詞僅由用戶掌握，錢包廠商本身無法訪問或恢復相關信息，因此該條款在技術上難以實現。比特幣政策研究所等機構表示，此類規定相當於為錢包設置"後門"，將削弱加密資產的安全性，並可能迫使用戶轉向中心化托管服務。目前該法案仍需通過州參議院審議，相關條款仍有被修改或刪除的可能。

ChainCatcher 消息，英國高等法院上週裁定，一起涉及 2323 枚比特幣被盜的訴訟可進入審判程序。原告 Ping Fai Yuen 在法庭文件中稱，其分居妻子 Fun Yung Li 於 2023 年 8 月利用家中監控攝像頭秘密獲取其 Trezor 硬體錢包的助記詞，未經許可轉移了 2323 枚比特幣。被盜時價值近 6000 萬美元，按當前約 7.4 萬美元的價格計算，現價值約 1.72 億美元。法庭文件顯示，被轉移的比特幣經多筆交易後分散至 71 個未托管於交易所的區塊鏈地址，自 2023 年 12 月 21 日起未再發生轉移。Yuen 稱其女兒曾警告 Li 試圖竊取比特幣，隨後他在家中安裝了錄音設備。Yuen 在發現轉帳後對 Li 實施了人身攻擊，並於 2024 年對實際身體傷害罪及兩項普通攻擊罪認罪。此前 Li 曾申請駁回該案，主張原告的核心訴求"轉換"僅適用於實物財產，不適用於比特幣等數字資產。法官認同該觀點，但裁定案件可基於其他法律主張繼續推進至審判階段。

ChainCatcher 消息，据 Bitcoinmagazine 報導，區塊鏈開發公司 Blockstream 推出 Blockstream Green 應用的 5.2.0 版本，此次更新將閃電支付與 Liquid 網絡（Blockstream 開發的比特幣側鏈）連接起來，利用原子交換將閃電支付轉換為由 Jade 設備保護的 Liquid 比特幣 (LBTC)。報導稱，其 Blockstream Jade 硬體錢包是目前首款能夠與比特幣閃電網絡互動的硬體錢包，允許用戶發送和接收閃電支付，同時將資金安全地存儲在冷存儲中。

ChainCatcher 消息，据《金融時報》報導，硬體錢包製造商 Ledger 正計劃在美國進行 IPO，估值可能超過 40 億美元。該公司已與高盛、傑富瑞和巴克萊銀行合作推進此項交易，最早可能於今年完成。此前，Ledger 首席執行官 Pascal Gauthier 曾在去年表示，公司正考慮在美國上市，並稱公司年收入已達到上億美元。

ChainCatcher 消息，据 ZachXBT 監測，一名受害者因硬體錢包社交工程詐騙損失超 2.82 億美元的 LTC 與 BTC。攻擊者隨後通過多家即時兌換平台將被盜的 LTC、BTC 轉換為 Monero，引發 XMR 價格短時飆升。部分 BTC 還通過 Thorchain 跨鏈至以太坊、Ripple 與 Litecoin 網絡。已披露被盜地址共計約 205 萬枚 LTC、1459 枚 BTC。

ChainCatcher 消息，趙長鵬 CZ 在 X 平台發文回應 Onekey 創始人 Yishi 稱，其個人對硬體錢包的需求是：私鑰無論在任何情況下不能離開設備。此外，CZ 還回應了為何自稱"並非專家"，他解釋稱專家擅長漸進式改進，告訴你哪些是不可能的，以及所有潛在的問題，也很少能發明一些激進的新東西。