Coinkite CTO遭指责，比特币漏洞损失逼近1.2亿美元_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Coinkite CTO遭指责，比特币漏洞损失逼近1.2亿美元

2026-08-05 04:24:58

研究将Coldcard钱包漏洞的故障随机性代码与Coinkite联合创始人兼CTO Peter Gray关联

比特币开发者James O'Beirne指出，Coinkite联合创始人兼CTO Peter Gray在2025年5月曾对相关缺陷的警告置之不理。该漏洞目前已从超过5200个比特币地址中盗取约1.14亿美元，Coinkite表示漏洞仍在持续被利用。

指向同一人的GPG签名

存在缺陷的库名为libngu，由名为Switch的匿名账户发布在GitHub上。比特币开发者James O'Beirne于8月4日发布的分析报告提供了加密证据，证明该账户属于Gray。O'Beirne的分析基于GPG提交签名。根据分析，共有58次以"Switck"为作者的提交，携带了Gray个人密钥的有效签名——该密钥同样用于签署同一仓库中署名Peter D. Gray的提交。相比之下，Switch账户并未上传自己的密钥。分析指出，已通过加密手段证明这两个身份实为同一人。

这一关联之所以重要，是因为O'Beirne的分析显示，Coldcard的生产固件将libngu作为依赖项引入。该分析还援引安全公司Wizardsardine的发现，指出该库是涉及漏洞的三个仓库之一。

2025年5月被忽视的报告

O'Beirne在一年多前（2025年5月）审计Coldcard固件时就曾指出这一风险。他表示，当时希望确定钱包随机数的来源，并追溯至libngu，随后向Coinkite报告了可能存在的缺陷。O'Beirne写道："就是同一个人，在2025年5月对我报告的缺陷可能性不以为然。"他补充说，尚未完整讲述那次沟通的经过。Coinkite尚未对这份报告的身份指认作出回应。

2021年的一次提交，五年未被察觉

Block的比特币工程和安全团队将问题追溯到2021年3月1日的一次提交，该提交改变了Coldcard构建钱包种子（seed）的方式。变更将原本调用设备硬件随机数生成器的代码，替换为回退到MicroPython软件随机数生成器的代码。该错误隐藏在一个预处理检查中。固件版本4.0.0于2021年3月17日带着这一缺陷发布。

由于种子构建时熵值不足，攻击者可以在离线状态下重新生成种子，并无需接触任何设备即可盗取资金。所有盗窃事件均不涉及硬件被盗、钓鱼攻击或恶意软件。

Coinkite警告用户立即转移资金

Coinkite已告知用户采取紧急行动。"请将此视为紧急情况。迁移您的资金，"该公司发文表示，同时确认漏洞仍在被利用，并要求持有者提醒那些"不太关注网络消息"的人。并非所有钱包都受影响。报告称，运行固件4.0.1或更高版本的Mk3设备存在风险，而运行低于5.6.0或1.5.0Q固件的Mk4、Mk5和Q设备用户应更新固件、创建新种子并转移资金。使用设备掷骰子选项（用户输入至少50次物理投掷）创建的钱包从未运行有缺陷的路径，因此被认为是安全的。强BIP-39密码短语以及Coldcard密钥仅为多个签名者之一的多重签名设置同样未受影响。

四波攻击造成近1.14亿美元损失

盗窃事件呈爆发式发生。第一波攻击于7月30日进行，在41分钟内从1196个地址中转出约1083枚比特币，价值约7000万美元。随后五天内又发生了三波攻击，Galaxy Research统计称第四波攻击于8月3日凌晨进行，使得总被盗金额达到约1816枚比特币。部分报告称损失价值接近1.16亿美元，另有报告按当时价格计算为1.14亿美元。比特币本身价格几乎未受影响，8月4日美国交易时段交投于63,800美元附近。竞争对手钱包制造商Ledger的网络安全专家Vincent Bouzon表示，这一事件是"某个具体实现的失败，而非对自我托管的否定"，并补充说熵值"必须锚定在安全硬件中"。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文