這是一個關於密碼學實作錯誤導致災難性後果的典型案例。最近 Coldcard 硬體錢包爆發了一次嚴重的安全漏洞，導致攻擊者在短短 41 分鐘內從 1,196 個地址中盜走約 1,082 顆比特幣（價值約 7,000 萬美元）。這起事件的核心不在於私鑰被偷，而是在於私鑰生成時的隨機性不足。
對於開發者或初學者來說，最重要的一個觀念是：在密碼學中，隨機數生成器 RNG (Random Number Generator) 的品質決定了整個安全體系的生死。
隨機數生成缺陷的技術細節
在生成加密錢包的種子（Seed）時，系統需要極高質量的隨機性，以確保生成的私鑰在數學上無法被預測。Coldcard 使用的是 STM32 晶片，該晶片內建了硬體隨機數生成器 (Hardware RNG)，能利用物理雜訊產生真正的隨機數。
然而，由於 2021 年的一次韌體整合錯誤，Coldcard 的編譯設定中將一個名為 MICROPY_HW_ENABLE_RNG 的巨集定義為 0（關閉）。開發團隊原本意圖使用自定義的硬體 RNG 封裝函數，但底層的 libngu 函式庫在檢查時，僅確認該巨集是否存在，而沒有檢查其值是否為開啟狀態。
這導致系統在編譯時，自動跳過了安全的硬體 RNG，轉而使用 MicroPython 的後備方案 Yasmarang。這是一個偽隨機數生成器 (PRNG)，它並非真正的隨機，而是根據晶片的唯一識別碼 (UID)、計時器狀態以及先前的呼叫歷史來計算出結果。
為什麼偽隨機數會導致資產被盜
偽隨機數生成器 (PRNG) 的特性是：只要你知道初始值（Seed/Entropy），就能完全預測出後續產生的所有數字序列。
在這次事件中，攻擊者不需要接觸使用者的實體設備。只要他們能獲取或推測出設備的 UID 以及啟動時的計時器狀態，就可以在離線環境下模擬出該設備可能產生的所有種子候選清單。接著，攻擊者將這些候選種子轉換成對應的比特幣地址，並與區塊鏈上的公開數據進行比對。一旦發現匹配的地址且其中含有資產，就可以立即將資金轉走。
這種攻擊方式將原本需要天文數字運算量的暴力破解，降低到了在實務上可行的程度。根據估計，受影響設備的有效熵 (Entropy) 僅有 40 到 72 位元，遠低於標準 BIP-39 種子要求的 128 位元。
受影響範圍與修復限制
這次漏洞的影響範圍涵蓋了多個型號的舊版韌體，包括 Mk2、Mk3、Mk4、Mk5 以及 Q 系列。
這裡有一個關鍵的工程實務陷阱：更新韌體無法修復已經生成的種子。
因為漏洞發生在種子生成的瞬間。如果你在漏洞版本下生成了種子，即使你現在將韌體更新到最新版本，那個種子本身依然是弱隨機產生的，依然處於危險之中。唯一的解決方法是在更新韌體後，重新生成一組全新的種子，並將資產遷移到新地址。
如何防禦此類風險
針對這類隨機性漏洞，有幾種實務上的緩解方案：
第一是增加外部熵。Coldcard 提到，如果使用者在生成種子時，使用了至少 50 次獨立且公正的實體骰子投擲來增加隨機性，則不會受到此漏洞影響，因為外部輸入的隨機數彌補了 PRNG 的不足。
第二是使用密碼短語 (Passphrase)。在 BIP-39 標準中，額外的 Passphrase 會與種子結合產生一個完全不同的錢包，即使種子被破解，沒有 Passphrase 依然無法進入該錢包。
第三是多重簽名 (Multisig)。如果一個錢包需要多個設備共同簽署才能轉帳，且這些設備並非全部使用同一款有缺陷的韌體，那麼單一設備的隨機數漏洞不足以讓攻擊者盜走資金。
總結
這次事件提醒我們，即使是頂級的安全產品，在底層函式庫的整合與編譯定義上的一個小失誤，就可能讓所有密碼學防線崩潰。對於工程師而言，確保隨機數來源的真實性與不可預測性，是開發任何加密系統時最優先的考量。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。