Coldcard制造商Coinkite在其比特币硬件钱包因种子生成缺陷导致超1亿美元比特币被盗后，发布了安全更新。周四，Coinkite在博客中敦促Coldcard Mk4、Mk5和Q用户升级至固件5.6.1或1.5.1Q。此次发布前，Coinkite联合外部安全研究人员及包括Kimi在内的AI模型，对系统进行了三周审查。
Myriad：比特币价格下一步走势？点击预测。
公司写道：“我们感谢过去几周尽心尽力的安全研究人员，他们报告问题、复现边界情况并审查我们的修复。他们的工作使该固件受到持续严密审查，令本次发布更稳健。”
7月，攻击者利用可追溯至2021年的固件缺陷，从空气隔离的Coldcard钱包窃取比特币。该缺陷生成的某些钱包种子随机性不足，私钥更易被猜中。首次攻击在25分钟内从约500个钱包盗走594 BTC（约3800万美元）。Coinkite推测攻击者可能使用AI审查其开源固件旧版以发现缺陷。至8月初，Galaxy Research已追踪到4585个地址共8860万美元被盗，并称攻击呈蓄意、程序化，可能由大语言模型协调。8月14日，该公司称攻击已致1778 BTC（约1.12亿美元）在三轮 major 攻击及数十起小事件中失窃。
此次Coldcard漏洞共致约1.3亿美元比特币被盗，引发对熵（生成密钥的随机性）的质疑。部分受影响设备安全性从128位熵降至约40位，使种子无需物理接触即可被猜出。Coinkite表示已修复交易签名、USB数据处理、固件验证、Delta模式和钱包备份等问题。现要求用户生成种子时添加随机性：至少65次按键、50次掷骰或128次抛硬币，设备会结合自身随机性。
该厂商还以SHA-256 Hash_DRBG替换Yasmarang备份伪随机数生成器，并增加硬件随机数生成器故障检测。2021至2026年7月间在受影响版本生成种子的用户，须用新固件建新种子并转移比特币。
此外，Coldcard现于签名前立即检查部分签名比特币交易（PSBT）。此前，经USB连接的被控电脑可能在用户审阅后、签名前篡改交易。新固件会在交易变更时中止签名并警告。Coinkite称该问题属理论风险，未被利用。其还收紧USB访问、强化Delta模式并更改备份处理。
Myriad：Strategy会持有超100万BTC吗？点击预测。
Ledger CTO Charles Guillemet称：“这严肃提醒我们，硬件钱包安全模型成败系于随机性。密码学难，安全实现更难。本次事件以最昂贵方式显现了这点。”本月早些时候，Boltz因AI辅助攻击者更快发现漏洞而暂停服务。一志愿比特币红队也用AI代理在数百项目中找出数千潜在漏洞。
Coinkite称调查仍在继续，客户正转移资金。“执法部门持续调查，努力确认责任人，我们随时协助并获通报，承诺支持每位客户完成迁移。”