Postare

真相大白！1.3亿美元Coldcard盗币案，漏洞可能早被发现却遭忽视。 我重新梳理Coldcard事件后，发现争议已经从“写错代码”升级到“谁知道漏洞、为什么没有修”。 2021年的固件改动让私钥生成绕过硬件随机数，转而调用可预测的软件伪随机数。攻击者无需接触设备，就能离线穷举部分种子。目前不同追踪口径显示，约1.14亿至1.3亿美元的 $BTC 可能被盗。 开发者James O'Beirne称，他在2025年5月审计时已向Coinkite警告LibNgU随机数实现可疑，但没有得到处理。他还通过GPG签名指出，发布该库的匿名账号与Coinkite CTO Peter Gray可能由同一人控制；这项身份关联目前仍是公开指控，Coinkite尚未完整回应。 最讽刺的是，用户购买硬件钱包就是为了减少信任，最后却仍要信任厂商的代码审计和漏洞响应。受影响的旧种子即使升级固件也不会自动安全，必须重新生成种子并迁移资产。 如果事后证实厂商提前一年收到警告却未处理，你认为Coinkite应承担赔偿责任吗？ $BTC #Coldcard #钱包安全 #交易安全