Coldcard 强制引入用户熵值机制，应对重大安全漏洞

2026年8月20日，Coinkite针对Mk4/Mk5及Q系列设备推出Coldcard固件5.6.1与1.5.1Q版本，旨在修补此前引发大规模比特币资产流失的随机数生成缺陷。该漏洞曾导致约1.16亿美元价值的比特币被分四波盗取，攻击者自7月30日起利用设备内部熵源不足的问题，成功破解多个钱包种子。

新版本核心变更：用户主导种子生成流程

本次升级的关键在于彻底重构种子创建逻辑——不再依赖设备内置随机数生成器，而是强制要求用户在生成新种子前主动注入外部熵值。这意味着所有新创建的密钥必须融合用户提供的不可预测输入，从而显著提升抗攻击能力。

具体操作方式包括：连续进行至少65次非规律按键、完成50次六面骰子投掷，或执行128次物理硬币翻转。这些步骤均需由用户亲自完成，确保随机性来源真实且不可复制。值得注意的是，此要求仅适用于未来新建的种子，已存在于旧版本固件中的钱包不受影响。

漏洞事件影响范围与损失评估

根据TRM Labs的数据分析，此次攻击共波及超过5,200个地址，累计损失达1,816枚比特币，估值接近1.16亿美元。最初报告称500个钱包遭窃，价值约4,000万美元；后续调查发现第四波攻击中仍有449枚比特币处于风险之中，最终确认总损失突破一亿美元大关。

该事件暴露了硬件钱包在密钥生成环节对内部熵源过度依赖的风险。因此，安全策略从“被动补丁”转向“主动迁移”，所有使用旧版本固件生成的种子均被视为潜在泄露，用户须重新创建并转移资产以保障安全。

实施建议：固件升级与资金迁移同步推进

Coinkite官方推荐用户将系统升级至5.6.1（Mk4/Mk5）或1.5.1Q（Q），其中最低可接受版本为5.6.0及以上。但需明确：仅更新固件无法恢复已被污染的种子，必须通过新流程生成全新密钥并完成资金转移。

在设置过程中，设备会引导用户完成熵值输入环节。完成后，应立即将新种子以离线方式备份，避免再次暴露于网络环境。当前比特币价格约为77,297美元，当日波动仅0.14%，市场反应平稳，未出现恐慌性抛售迹象。

加密货币恐惧与贪婪指数维持在71，属于“贪婪”区间。执法机构仍在追踪被盗资金流向，未来几日将成为观察迁移进度与追赃可能性的重要窗口期。