Skip to content

How Bitcoin Custody Works & Breaking Down The Coldcard Incident

📺 来源信息

✨ Highlights

本次事件的核心是 Coldcard 在生成私钥时，没有提供足够大的随机数空间，导致种子短语可被暴力破解，与管理私钥的其他环节无关。 Coldcard 的问题不是出在保护密钥，而是出在“铸造钥匙”的第一步。设备具备生成强随机数的硬件，但代码逻辑错误导致它关闭了硬件随机源，并静默回退到一个弱随机方案。 攻击者仅凭对该漏洞的了解就能通过计算找到私钥。受害者无需泄露助记词，设备也无需联网或失窃，因为密钥在生成之初就存在于一个被极大压缩的可能性空间里。 比特币自托管的本质没有失效。所谓“自托管已死”是误读。核心始终未变：生成一个足够大、足够随机的数字并安全保管。一个厂商的疏忽不代表整个范式失败。

1. 紧急警告：Coldcard 硬件钱包的灾难级漏洞

这是一个正在发生的、紧急的安全事件。如果你正在使用由 Coldcard 硬件钱包生成的种子短语（Seed Phrase）来存储比特币，尤其是使用了 2021 年 3 月之后的固件版本，你的比特币正面临严重的被盗风险。这不是演习，而是迫在眉睫的威胁。

此次攻击的特殊性在于，攻击者甚至不需要接触你的硬件钱包，也不需要知道你的身份。他们只需要知道这个漏洞的存在，以及相关种子短语生成时使用了多么微弱的随机性，就足以重建私钥并转走资产。

这次损失的惨重程度不仅体现在金额上，更体现在受害者的特征上。被盗的比特币大多是小数目的，没有单次超过 100 个比特币的巨额转账，绝大多数甚至少于 1 个比特币。受害的不是使用杠杆的机构或对冲基金，而是那些遵循最高安全实践、深入理解资产本质的、勤恳的普通比特币持有者。他们投入了大量时间学习并践行，却因为一家他们信赖的公司犯下的极端错误而遭受了无妄之灾，这正是整个事件中最令人心碎之处。

2. 比特币托管的本质：一个超大随机数的游戏

要理解这次事件的根源，我们必须回到比特币最底层的运行逻辑：你的钱包里并不“包含”任何比特币。 比特币不存在于你的手机、硬件钱包或电脑里。

比特币的账本是一个公开的电子表格，它只记录了一条信息：某个地址有权花费一定数量的比特币。而“有权花费”的证明，就是不透露秘密本身的前提下，向全网证明你拥有一个与地址对应的私有秘密（私钥）。这就像一道数学题，比特币网络只负责验证数学等式是否成立，不管你是真正的主人还是窃贼。

因此，进行比特币交易和存储的核心，本质上是对一个根秘密（Root Secret） 的生成和管理。这个根秘密就是一个非常大的随机数字。数据安全的所有希望都寄托在两点上：

  1. 无与伦比的数字空间：比特币使用的随机数字空间是 2 的 256 次方（2^256）。这个数字大到超越了人脑的直观理解范畴。可以试着这样想象这个数字：用 40 亿台每秒能进行 40 亿次猜测的超级计算机，再复制 40 亿个这样的地球，为银河系里百分之一的恒星都配备一个这样的系统，让其连续运算 37 倍于宇宙寿命的时间，也仍然只有 40 亿分之一的猜中概率。这个计算空间大到物理上不可行。
  2. 真正的随机性：这个数字必须是从那个巨大空间里真正随机挑选出来的。如果挑选过程不够随机（比如空间只有 2 的 40 次方），那么攻击者就能在极短的时间内用普通电脑穷举出所有可能性。一副被彻底洗乱的扑克牌的排列组合数量，在历史中都几乎不可能重复，而比特币的密钥空间比它还要大 14.4 亿倍。

比特币的力量在于用数学扭转了物理世界的暴力逻辑。你可以用武力闯入金库或国家边境，但你无法用武力破解一个数学难题。只要这个超大随机数被正确生成和安全保管，它就是人类历史上最牢固的财产权堡垒。

3. 冷卡的致命失败：错误的根源在于密钥的生成

硬件钱包理论上需要完成三个核心任务：一、生成（创建一个无人能猜的超大随机数）；二、保护（将这个秘密与网络世界隔离）；三、签名（使用秘密授权交易）。

Coldcard 恰恰在第一个、也是最基本的任务上彻底失败了。它没有生成一个强壮的随机数。这个失败的细节非常清晰：

  • 技术故障：Coldcard 的硬件本身是具备生成强随机数的能力的。问题出在软件代码上。在 2021 年 3 月后的某个固件中，这段强随机数生成代码被定义了，但没有被启用（被设置为了 false）。
  • 真正的不胜任：硬件随机数生成失败在安全工程中是可能发生的。但关键在于，当这一灾难发生时，设备不应该静默地回退到一个非常弱的、内部状态只有 40 比特的随机方案（只有大约一万亿种可能性，普通电脑几分钟就能遍历）。在安全工程中，这叫“静默失败”且“非安全失效”。更安全的设计是直接停止工作并抛出严重错误（“fail closed”），而不是假装一切正常却产生一个极易破解的种子。一个在沉默中生成弱密钥的设备，比一个拒绝工作的设备危险一万倍。

这就是为什么冷卡生成的助记词看起来和其他钱包一样，所有链上活动也正常，但这个漏洞却潜伏了数年都未被发现的原因。从 2023 年 3 月到漏洞被揭示，用户一直在使用不安全种子生成的地址。

4. 更健壮的实践与 Strike 的定位

这次事件不是比特币协议或自托管范式的失败，而是一个公司产品的失败，其核心启示在于如何构建容错性更强的安全体系。

  • 从单签（Single Sig）到多签（Multi-Sig）：单签的缺陷在于，一旦那仅有的一个秘密泄露，资产就随之消失。多签方案（例如 2/3 多签）则要求必须同时拥有多个独立的秘密才能转移资产，极大地增加了容错性和抵御单点故障的能力。即便一个秘密被盗或丢失，只要你仍掌控着其他密钥，资金就是安全的。
  • 密钥分片（Key Sharding）：将一个完整的签名授权分布到多个人、多个设备或多个地点，增加物理上获取完整授权的难度。
  • 代码审查的重要性：讨论硬件钱包时，真正在运行的软件代码比硬件本身更重要。在比特币生态中，代码审计最严格、最受信任的依然是 Bitcoin Core。一个彻底的做法是，购买一台干净的笔记本电脑，离线安装并运行 Bitcoin Core，生成地址后让笔记本永远断网。这是最大程度依赖已经被大量审查的核心客户端的方式。

对于许多用户而言，直接使用像 Strike 这样设计精良的托管服务同样是可靠的选择。Strike 采用地理分布式的多重签名冷存储来保管资产，并已经部署了前沿的 AI 模型，每日自动审查代码库和基础设施，以寻找潜在威胁和漏洞。管理自己的超大随机数是自我主权的终极体现，但将难题交给专业的、负责任的服务商也完全没问题。关键在于理解每种选择背后的信任假设和风险权衡，并做出适合自己的决定。