1.14亿美元被盗后，Coldcard修复AI发现的多项漏洞_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

1.14亿美元被盗后，Coldcard修复AI发现的多项漏洞

2026-08-22 22:05:00

加拿大硬件钱包Coldcard更新固件：修复随机数生成漏洞，用户需更换密钥

在超过1.14亿美元被盗后，加拿大硬件钱包Coldcard正在升级其安全机制。经过与多款AI模型的分析，Coldcard发布了新的修正固件版本。此次研究不仅限于最初的随机数生成器，还涉及交易、USB数据传输以及更新流程。然而，受影响用户必须在转移资金前重新生成主密钥。

简要概述

1.14亿美元被盗源于随机数生成漏洞。Coldcard通过Kimi等AI模型分析，发现了其他多项缺陷。基于Yasmarang的备用生成器已被SHA-256解决方案取代。新种子需要用户提供物理随机性，如按键、骰子或硬币。受影响用户必须生成新密钥并转移资金，因为仅更新固件无法保障受损钱包的安全。

Coldcard修复随机数相关漏洞

漏洞曝光数周后，Coldcard背后的加拿大公司Coinkite发布了新固件版本。分析过程中，团队使用Kimi及其他模型检查了受影响代码，重点研究随机数生成器，同时覆盖整个系统，从而发现了多个独立问题。Coinkite在交易批准、USB数据管理及更新验证环节发现了漏洞，这些问题涉及钱包运行的不同阶段，扩大了盗窃事件后补丁的覆盖范围。

Coinkite替换了备用随机数生成器，Yasmarang让位于基于SHA-256（比特币使用的哈希函数）的解决方案。新种子还依赖用户提供的物理随机性，这一机制降低了生成器软件故障带来的风险。

创建新种子的方法

仅更新固件不足以保护已受损的钱包。使用受影响固件创建恢复短语或主密钥的用户必须生成新密钥。该规则适用于2021年至2026年7月期间的受影响版本，用户需将资金转移至新生成的密钥。

为了创建新种子，用户需自行提供部分随机性。Coldcard提供三种方法：以不可预测的间隔按键65次、掷骰子50次、或抛硬币128次。其原理依赖于软件无法预测的物理结果。这一改进直击问题本质——漏洞源于为密钥生成随机数的设备。骰子或硬币提供了独立于软件机制的信源。同时，新固件加强了交易签署前的控制。

Coldcard加强对交易和USB端口的控制

Coldcard现在会在签署前立即验证交易，防止通过USB被入侵的计算机在屏幕批准后修改支付内容。设备在敏感时刻增加了控制步骤，用户因此获得修改后验证的保护。默认情况下，系统会阻止允许在签署后修改交易部分内容的电子签名模式，这一限制补充了支付处理流程的变更，减少了显示批准与实际签署之间的修改可能性。

Coinkite要求Mk4和Mk5型号用户安装版本5.6.1，Q型号用户安装版本1.5.1Q。AI在审计中扮演着越来越重要的角色。Coinkite还发布了一个状态页面，列出了已修复版本和迁移步骤。

AI在审计中的日益重要

Coldcard的分析正值多家机构强调利用AI搜索漏洞之际。BTCPay项目在闪电节点遭攻击清空后，最近修复了一个漏洞，并为资金追回提供了高达3 BTC的赏金，向参与研究人员支付了0.42 BTC，同时建议用户将资金保持离线状态。

多家公司，包括Coinbase、Block、BitGo和Blockstream，在8月10日签署了一封公开信，要求AI实验室向开源研究人员提供其最强大模型的早期访问权限。这一举措凸显了攻击者可用工具与研究人员可访问工具之间的差距。

比特币红队也体现了这一趋势。该由16名开发者组成的团队在首个24小时内发现390个项目上的4962个漏洞，其中包括85个严重问题和635个高严重性问题，其报告为BTCPay补丁提供了支持。Bybit指出，AI辅助审计发现某些漏洞的速度比人工检查快三到五倍，并帮助拦截了7亿美元的疑似提款。

下一步涉及迁移受影响的设备并更换使用受影响版本创建的密钥。Coldcard还需要在盗窃调查期间为用户提供支持。这些补丁，尤其是通过人工智能增强分析得出的结果，将保护范围扩大到初始生成器之外的多个系统组件。其有效性将取决于新版本的安装以及迁移程序的遵守情况。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文