Hack Coldcard：NVK 提到 15 次審核，Luke Dashjr 談到謊言

十五次安全審查，卻沒有一個警報。 在約 1,800 BTC 從 Coldcard 錢包被盜三個月後，Coinkite 的負責人再次在 X 上打開這個話題，以捍衛他過去的審核，並指出只有人工智慧能夠發現這個漏洞。多位比特幣開發者回應他，表示他們早已發出警告。

如果您在夏季之前在 Coldcard 上創建了您的種子，這場爭論對您來說沒有任何改變。您仍然需要遷移到一個新的恢復短語。

關鍵要點：

• 11 月 9 日，NVK 列出了至少十五次未能發現缺陷的外部審查。
• 根據他的說法，只有一個最近的 AI 模型才能發現這個在 2021 年 3 月的代碼中隱藏的錯誤。
• Luke Dashjr 表示他私下向 Coinkite 提出了九條關於隨機生成器的意見。
• Coinkite 承認目前沒有完整的獨立審核修正過的韌體。
• 更新設備並不能拯救舊的種子。

Coldcard：NVK 的辯護基於十五次審核

11 月 9 日，Rodolfo Novak，別名 NVK，在 X 上發表了一條長長的推文。他聲稱至少有 15 項外部的安全審查或研究針對 Coldcard 硬體、其韌體、隨機數生成器相關工具或其發布程序進行了審查，這些都是在發現缺陷之前進行的。其中包括 2022 年的 Mk4 和 2024 年的 Q 的兩次付費審查。 NVK 於 11 月 9 日的推文。來源：X

他還提到開發者 Rob Ham 使用 OpenAI 的網絡安全工具進行的篩查。結果顯示 85 個潛在問題被報告，並且有幾個修正，但沒有發現種子生成的缺陷。<< 令人不安的真相是，必須依賴一個新的 AI 模型來找到人類未能發現的問題 >>，NVK 寫道。

這個錯誤始於 2021 年 3 月。為了創建一個種子（由 12 或 24 個單詞組成的序列，用於重建錢包的所有密鑰），韌體調用了 MicroPython 的軟體生成器，而不是預定的硬體隨機數生成器。原本應該無法找到的密鑰變得可以通過暴力破解來猜測。7 月 30 日，第一次掃描在 41 分鐘內清空了 1,196 個地址。

Coldcard 漏洞：Luke Dashjr 和 James O'Beirne 說他們已經發出警告

反擊在同一天到來。比特幣核心開發者 Luke Dashjr 發布了九條觀察，針對 Coldcard 的隨機生成器，他聲稱這些觀察最初是私下傳達給 Coinkite 的。他針對生成器的初始化、STM32 晶片的錯誤管理和重複值的檢測提出了批評。他強調自己只是快速瀏覽了一下，並不認為每一點都是可利用的。然而，對於 AI，他並不客氣：將這些缺陷描述為僅由一個出色的 AI 能夠找到的問題，對他來說純屬謊言。

James O'Beirne 早在 8 月初就已經講述了他在 2025 年 5 月開始檢查韌體的經歷。他對 libngu 庫和硬編碼在備用軟體生成器中的常數表示疑問。有人告訴他，配置在實體設備上是正確的。他承認自己沒有堅持下去。

氣氛迅速升溫。Alex Waltz 指責 Coinkite 阻礙對其代碼的審查，而 Shinobi 則為 NVK 辯護，指出審查者確實檢查了熵系統卻沒有發現任何問題。而 NVK 則重申，私下表達的擔憂並不等於公開披露可重現的漏洞。

Coldcard 錢包：後期分析仍在準備中

雙方在同一盲點上僵持不下。早在 8 月 3 日，Kraken 的安全負責人 Nick Percoco 就解釋說，審核者檢查代碼中是否存在正確的生成器，而不檢查生產韌體是否調用了它。到 8 月底，Trezor 補充說，一項針對隨機生成的 2022 年 3 月的付費審核也未能發現問題。

在 Coinkite 方面，更新於 10 月 1 日的安全狀態頁面列出了針對修正韌體的四項獨立檢查。它明確指出沒有完整的獨立審核每個二進制文件。自夏季以來一直期待的詳細技術後期分析？仍然<< 在準備中 >>。 Coldcard 安全狀態，更新於 10 月 1 日。來源：Coinkite

對於您來說，指示沒有改變。建議的版本是 Mk4 和 Mk5 的 5.6.3 以及 Q 的 1.5.3Q，但更新並不會遷移種子。唯一的例外是，使用至少 50 次公平且未暴露的擲骰子創建的種子提供約 128 位的熵。對於所有其他情況，請在更新的設備上使用新的恢復短語，然後轉移資金。

一小部分贓物已經在正確的方向上轉手。9 月 21 日，白帽駭客將與 Coldcard 黑客事件相關的 52.37 BTC 集中到一個懷俄明州的信託基金中，負責將其歸還給受害者，這僅僅是被盜的約 1,800 BTC 的 3%。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。