沒有骰子？你的比特幣硬體錢包可能沒有你想的那麼安全

大多數人並未意識到，隔離的比特幣錢包可以將私鑰與互聯網隔絕多年，但從其種子創建的那一刻起就可能存在漏洞。

Coldcard 最近披露的隨機數生成故障使這一矛盾變得明顯。一個運行受影響固件的錢包可能會生成一個看似正常的 12 或 24 字恢復短語，將其離線存儲，並在隔離環境中簽署交易。可預測的生成縮小了這些單詞背後的宇宙，允許攻擊者在其他地方重現候選者並識別匹配的比特幣地址。

我認為錢包最重要的安全決策在於開始階段。這是在 PIN 碼、鋼製備份、防篡改袋和隔離簽名流程之前：種子有多不可預測？

一個良好的現代隨機數生成器可以提供足夠的熵。實體骰子為擁有者提供了一個可見、可控且與製造商代碼分開的隨機性來源。

種子在錢包離線之前就已經很弱

CryptoSlate 對 Coldcard 缺陷的首次報導解釋了攻擊路徑。候選種子可以在設備之外生成，轉換為公共地址並檢查比特幣公共帳本上的活動。

技術原因幾乎微不足道。2021 年 3 月 1 日的代碼更改將 Coldcard 的種子生成移入一個新庫。生產固件將一個名為 MICROPY_HW_ENABLE_RNG 的設置定義為零，意味著禁用，而集成僅檢查該設置是否存在。其存在使生成轉向 MicroPython 的確定性 Yasmarang 回退，而不是預期的硬體隨機數生成器。根據 Block 的協調分析，受影響的路徑在 3 月 17 日的固件 4.0.0 中發佈。

看似普通的錢包輸出隱藏了大幅減少的搜索空間。Coinkite 的初步估計將受影響的 Mk2 和 Mk3 種子的有效搜索空間約為 40 位，而受影響的 Mk4、Mk5 和 Q 種子約為 72 位。Block 確定了後來設備的另一個限制：在回退狀態和調用歷史固定的情況下，最多可安全區分 2^32 個流。Coinkite 的數據估計了攻擊者可能搜索的有效空間。Block 的更窄界限描述了在固定條件下重新種子的某一部分，而不聲稱有端到端攻擊基準。

這兩個分析將後來的前綴設備置於受影響範圍內。Coinkite 的安全建議列出了 Mk4 和 Mk5 固件在標準 5.6.0 或 Edge 6.6.0X 之前，以及 Q 固件在標準 1.5.0Q 或 Edge 6.6.0QX 之前。對於 Mk2 和 Mk3，Coinkite 列出了版本 4.0.1 到 4.1.9，而 Block 表示該路徑始於 4.0.0。我會保守地對待這一有爭議的邊界。

更新到修復版本可以保護未來的種子生成。現有的種子保持其在誕生時獲得的熵，並且從中衍生的每個地址共享相同的根秘密。任何使用受影響版本的人應檢查建議，並在無法建立私骰例外的情況下，使用修復的軟體和可信的熵創建一個全新的種子。然後資金需要轉移到新錢包。從舊助記詞生成的新地址保留了這一弱點。

事件的規模需要同樣謹慎的措辭。Bitcoin Optech 在 7 月 31 日報告了一個不斷演變的估計，超過 1,000 BTC。截至 8 月 2 日，Galaxy Research 估計在 4,585 個地址中懷疑有 1,367.05 BTC。X 用戶以 Graham_Quantum 的身份發帖，還表示 18.25245043 BTC 在 7 月 29 日離開了錢包。該帖子建立了第一人稱的敘述；交易鏈接和 Coldcard 的因果關係仍未經驗證。

一個更大的數字描述了防禦性移動。CryptoSlate的第二份Coldcard報告發現，在披露後，77,402 BTC從舊的UTXO帶中移動。這個總數涵蓋了包括預防性遷移在內的舊幣移動。它衡量了一波自我救助，而Galaxy的較小數字則是對懷疑損失的逐步估算。

安全失敗可以同時產生兩種衝擊：盜竊和更大規模的理性遷移。鏈上數據記錄了這一移動。動機需要上下文。

私骰的變化

Coldcard的骰子文檔計算每次獨立擲骰子的公平六面骰子約有2.585位熵。五十次擲骰子提供約129.25位的原始擲骰熵，通常目標為128位安全性。九十九次擲骰子提供約255.91位，粗略上是256位安全性的目標，然後錢包應用其記錄的轉換程序。

這些數字與BIP-39相符，這是一個廣泛使用的助記標準。12個單詞的短語編碼128位熵加上4位檢查碼。24個單詞的短語編碼256位加上8位檢查碼。

檢查碼檢測錯誤，同時不增加任何新的不可預測性。將弱輸入進行哈希或格式化為更長的輸出，保留了可能秘密的基礎上限。因此，十二個看似熟悉的單詞可以代表它們所顯示的空間的一個微小子集。

物理擲骰子只有在錢包的記錄程序正確地納入它們時才有幫助。骰子必須適合任務，每次擲骰子必須是真實和獨立的，並且序列必須保持私密。重複的模式、照片、雲端筆記和在普通網絡計算機上的輸入可能會破壞擲骰子的獨立性或保密性。

對於這次Coldcard事件，Coinkite表示，只有當用戶能夠確定最終種子包含至少50次公平、獨立和私密的擲骰子時，遷移可能是不必要的。對於不確定性的建議是遷移。

對我來說，骰子很重要，因為設備生成的隨機性要求擁有者信任硬體、韌體、構建過程和整合代碼作為一個鏈。記錄的擲骰子輸入流程從該鏈外部添加了擁有者控制的熵。大約50次公平的擲骰子目標128位，99次目標約256位，但用戶應遵循設備的確切程序，而不是即興轉換。

一個強而獨特的 BIP-39 密碼短語以不同的方式改變了攻擊方式。它增加了一個獨立的秘密，攻擊者必須在找到助記詞後才能發現。助記詞的原始熵保持不變。每個密碼短語，包括拼寫錯誤，都會衍生出一個看似有效的錢包，因此失去正確的密碼短語可能會使預期的資金無法使用。設備的 PIN 則有不同的用途。

密碼短語創造了一個真正的權衡。當擁有者能夠重現並保護它時，它可以提供一個強大的第二道防線。糟糕的備份則會將同樣的特性變成鎖住自己的方式。

弱隨機性不斷重現

Coldcard 是當前的警告，而相同的根本失敗在非常不同的錢包中出現。

在 2023 年，Ledger Donjon 揭露某些 Trust Wallet 瀏覽器擴展版本使用了一條用 32 位 Mersenne Twister 值種子的 WebAssembly 路徑。這些看似正常的助記詞來自約四十億個可能的起始值。受影響的範圍是特定的：使用 Trust Wallet Core 版本 3.1.1 之前的瀏覽器擴展版本 0.0.172 到 0.0.182。國家漏洞數據庫記錄了在 2022 年 12 月和 2023 年 3 月的利用情況。

Milk Sad 的披露顯示了 Libbitcoin Explorer 3.x 中同一危險的更直觀版本。它的 bx seed 命令使用了 32 位的時間種子 Mersenne Twister，並且在相同的時鐘條件下可以產生相同的助記詞。對於大約創建時間的了解使攻擊者的搜索範圍比恢復詞所暗示的要小得多。

研究人員在受影響的範圍內發現了超過 2,600 個活躍使用的比特幣錢包，並估計在 2023 年 8 月的價格下，相關的盜竊金額超過 90 萬美元。這些錢包中有超過 2,550 個共享了一個自動化模式，可能屬於同一擁有者，研究人員表示某些資金流失可能涉及其他弱點。

這些實現有所不同：一次意外的固件回退、一條瀏覽器擴展的 Wasm 路徑和一個時間種子的命令行工具。每個工具產生的輸出看起來像是完整強度的錢包秘密，但僅探索了表面空間的一小部分。

比特幣保管建議通常在種子存在後開始：保持離線，使用耐用的備份，分開責任並測試恢復。所有這些仍然很重要。Coldcard 的失敗將起點向後推了一步。

一個空氣間隙保護你給予的秘密。隨機性必須首先到位。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。