资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
研究将Coldcard钱包漏洞的故障随机性代码与Coinkite联合创始人兼CTO Peter Gray关联
比特币开发者James O'Beirne指出，Coinkite联合创始人兼CTO Peter Gray在2025年5月曾对相关缺陷的警告置之不理。该漏洞目前已从超过5200个比特币地址中盗取约1.14亿美元，Coinkite表示漏洞仍在持续被利用。
指向同一人的GPG签名
存在缺陷的库名为libngu，由名为Switch的匿名账户发布在GitHub上。比特币开发者James O'Beirne于8月4日发布的分析报告提供了加密证据，证明该账户属于Gray。O'Beirne的分析基于GPG提交签名。根据分析，共有58次以"Switck"为作者的提交，携带了Gray个人密钥的有效签名——该密钥同样用于签署同一仓库中署名Peter D. Gray的提交。相比之下，Switch账户并未上传自己的密钥。分析指出，已通过加密手段证明这两个身份实为同一人。
这一关联之所以重要，是因为O'Beirne的分析显示，Coldcard的生产固件将libngu作为依赖项引入。该分析还援引安全公司Wizardsardine的发现，指出该库是涉及漏洞的三个仓库之一。
2025年5月被忽视的报告
O'Beirne在一年多前（2025年5月）审计Coldcard固件时就曾指出这一风险。他表示，当时希望确定钱包随机数的来源，并追溯至libngu，随后向Coinkite报告了可能存在的缺陷。O'Beirne写道："就是同一个人，在2025年5月对我报告的缺陷可能性不以为然。"他补充说，尚未完整讲述那次沟通的经过。Coinkite尚未对这份报告的身份指认作出回应。
2021年的一次提交，五年未被察觉
Block的比特币工程和安全团队将问题追溯到2021年3月1日的一次提交，该提交改变了Coldcard构建钱包种子（seed）的方式。变更将原本调用设备硬件随机数生成器的代码，替换为回退到MicroPython软件随机数生成器的代码。该错误隐藏在一个预处理检查中。固件版本4.0.0于2021年3月17日带着这一缺陷发布。
由于种子构建时熵值不足，攻击者可以在离线状态下重新生成种子，并无需接触任何设备即可盗取资金。所有盗窃事件均不涉及硬件被盗、钓鱼攻击或恶意软件。
Coinkite警告用户立即转移资金
Coinkite已告知用户采取紧急行动。"请将此视为紧急情况。迁移您的资金，"该公司发文表示，同时确认漏洞仍在被利用，并要求持有者提醒那些"不太关注网络消息"的人。并非所有钱包都受影响。报告称，运行固件4.0.1或更高版本的Mk3设备存在风险，而运行低于5.6.0或1.5.0Q固件的Mk4、Mk5和Q设备用户应更新固件、创建新种子并转移资金。使用设备掷骰子选项（用户输入至少50次物理投掷）创建的钱包从未运行有缺陷的路径，因此被认为是安全的。强BIP-39密码短语以及Coldcard密钥仅为多个签名者之一的多重签名设置同样未受影响。
四波攻击造成近1.14亿美元损失
盗窃事件呈爆发式发生。第一波攻击于7月30日进行，在41分钟内从1196个地址中转出约1083枚比特币，价值约7000万美元。随后五天内又发生了三波攻击，Galaxy Research统计称第四波攻击于8月3日凌晨进行，使得总被盗金额达到约1816枚比特币。部分报告称损失价值接近1.16亿美元，另有报告按当时价格计算为1.14亿美元。比特币本身价格几乎未受影响，8月4日美国交易时段交投于63,800美元附近。竞争对手钱包制造商Ledger的网络安全专家Vincent Bouzon表示，这一事件是"某个具体实现的失败，而非对自我托管的否定"，并补充说熵值"必须锚定在安全硬件中"。
