比特币杂志
Coinkite 发布固定固件以修复 Coldcard 漏洞；AI 可能参与了此次泄露
截至目前，据信已有超过一千个比特币在 7 月 30 日下午开始在社交媒体上讨论的黑客攻击中被盗。Coinkite，作为最受信赖的硬件钱包制造商之一，被发现其生成比特币硬件钱包安全私钥的方式存在严重漏洞。行业专家认为此次泄露中使用了 AI。
固件版本为 4.0.1（2021 年 3 月）至 4.1.9 的 Coldcard MK3 设备受到的影响最严重。未包含用户生成的骰子投掷或 BIP 39 额外密码短语的 12 或 24 个单词种子生成的设备存在漏洞。
符合此类别的用户，如果在 MK3 Coldcard 中持有比特币且未使用骰子投掷功能以增加熵或额外密码短语，应考虑自己处于风险之中，并尽快将其币从钱包中转移。比特币杂志的技术作家 Shinobi 已发布了相关指南，Coinkite 也发布了指南和建议。
该漏洞是固件中的一行特定代码，这是控制硬件的低级软件代码库。该固件似乎是可升级的。Coinkite 的建议今天早上已更新，建议用户为所有三款芯片（MK3、MK4 和 MK5 设备）升级设备固件，包括 Coldcard Q：
“更新于2026年7月31日，东部夏令时间上午9:33：固定固件现已可用。Mk4和Mk5用户必须更新到版本5.6.0或更高版本。Q用户必须更新到版本1.5.0Q或更高版本。对于Mk3，请更新到版本4.2.0或更高版本。”
Coinkite在他们的公告中还解释说，更新固件并不意味着之前由易受攻击的固件生成的私钥和公钥现在是安全的；这些密钥仍然是脆弱的，因为它们实际上是用弱密码创建的。固件更新后，需要创建一个新钱包，并将资金发送到新地址以确保资金安全。Coinkite写道：
“更新固件不会更改或修复现有的种子。如果您的种子是在您型号的固定固件版本之前生成的，请遵循下面的迁移指南，除非独立的骰子熵例外适用于您。”
某些多重签名钱包可能面临风险
核心贡献者和网络安全工程师Peter Todd今天针对使用Coldcard阈值来保护资金的多重签名钱包的特定边缘案例进行了说明。“示例案例：您有一个2-of-3的组合，包含2个Cold Card和一个未被攻破的设备。如果您移动资金，当您的脚本第一次被揭示时——之前隐藏在地址哈希后面——攻击者现在知道足够的信息，可以使用被攻破的2个Cold Card密钥来窃取您的资金。”
揭示多重签名脚本的交易可能未被确认，这给黑客足够的时间创建一笔费用更高的竞争交易。幸运的是，这种情况有解决方案：MARA矿池可以通过他们的私人内存池挖矿服务Slipstream来帮助解决这个问题；“因为他们承诺在交易进入区块之前保持你的交易——因此公钥——的秘密。这大大减少了攻击者盗取资金的能力，”Todd说。他补充道：“如果你已经重复使用了地址，这就不相关，你应该尽快尝试转移你的资金。但如果你没有，MARA可能能够提供帮助。”
超越直接危机
Coldcard的联合创始人之一NVK在X上发布了一篇长文，进行了初步分析，超越了确保资金安全所需的基本安全步骤。在文中，他写道，公司“致力于与希望追求警方报告、保险索赔或自己调查的受影响用户合作”，包括“针对您的损失和我们可以分享的任何交易数据的书面事件摘要”。
在直接危机之外，NVK指出了一个更广泛的技术转变，因为人工智能的黑客能力开始改变以前的网络安全动态和期望。在博客文章中，他写道：
“对每位开发者：我们相信这是新AI范式的严峻现实。AI辅助的代码审查现在能够以超过行业中最资深专家的速度发现潜在的漏洞。如果您的固件是开源的或曾经公开过，请假设它已经被攻击者和防御者阅读。”
在过去24小时内的黑客攻击和估计超过7000万美元的被盗资金，是支付给黑客的有效赏金，他们现在可能正在审计每个可用的钱包代码库以寻找漏洞。虽然比特币和更广泛的加密行业通常假设黑客会测试他们的代码，但为网络安全优化的AI模型的发展加速了这些过程。
行业专家昨晚在一次长时间的X Spaces公开电话会议上聚集，讨论了这个话题几个小时。除了立即的建议和回答比特币用户在长时间Spaces中的问题外，还讨论了未来几周可能发生的事情的分析。其他钱包提供商可能会受到审查，尤其是生成私钥材料的开源项目将会被测试。
X Spaces没有被记录，可能是为了保护通话中每个人的隐私；然而，初步情绪表明，公司需要对其代码进行审计，以应对生存问题，使用最新的前沿模型。Anthropic、OpenAI、Moonshot的Kimi K3等最新的网络安全导向AI模型已经向公众开放。许多比特币行业的公司已经在使用这些模型来测试代码的完整性，但有些公司可能没有这样做，而寻找钱包相关代码中的漏洞的竞争肯定会继续，尤其是在接下来的几周内。
最终，今天我们为失去的币而哀悼，进入一种反思和仔细审查的状态。在这次历史性的黑客攻击之后，将会出现一个开源自我保管的行业和基础设施，这可能会安全性提高几个数量级，并吸取了非常艰难的教训。毕竟，每个拥有AI代理的黑客现在都可能在测试防御。
多供应商、多密钥钱包和契约
未来的高主权钱包，无论是在零售还是企业层面，都可能不依赖于任何单一供应商。多签名钱包在做得好的情况下，可以将漏洞风险分散到不同的代码库、团队和硬件上。
用户生成的熵也是之前讨论的 X Spaces 中的一个主要主题，掷骰子生成的熵经常被提及作为解决方案。Coldcard 以及其他硬件钱包如 Foundation Devices 指导用户如何正确添加自己的熵；许多骰子需要掷出，理想情况下超过一百次单独的掷骰子。然而，一旦完成，掷骰子就代表了一个非软件来源的随机性，为钱包提供了保障，同时也将用户与软件或硬件生成的熵的边缘案例风险隔离开来。
在比特币行业的某个小众中，契约作为一种流行的软分叉也开始被提及，作为进一步加强自我保管行业的步骤。这项对比特币共识的升级，如果能够实现，将可能是艰难的，可能会为用户提供重要的智能合约功能，例如只能发送到白名单地址的钱包，而这在今天的比特币脚本中是无法实现的。
这篇文章《Coinkite 在 Coldcard 漏洞后发布固定固件；AI 可能涉及此漏洞》最初出现在 Bitcoin Magazine，由 Juan Galt 撰写。
来源：BitcoinMagazine
