據 Woofun AI 消息，加拿大公司 Coinkite 旗下硬件錢包品牌 Coldcard 遭遇嚴重安全危機，約 594 枚比特幣在極短時間內被非法轉移。這一事件暴露出該設備在私鑰生成核心邏輯上的致命缺陷，導致用戶資產面臨直接威脅。

攻擊發生的時間窗口極爲緊湊，集中在週五世界標準時間 01:31 至 01:56 之間。在這短短 25 分鐘內，價值約 3800 萬美元的比特幣從約 500 個不同的錢包中被清空。資金轉移過程涉及三次區塊鏈區塊的生成，共執行了 500 筆交易，最終其中 562 枚比特幣被集中匯聚至一個至今未再發生移動的地址。

值得注意的是，所有受害錢包均爲單簽名類型，且每個錢包持有的比特幣數量均超過 0.15 枚。這些被盜資金的生成時間跨度爲 2021 年至 2026 年，許多錢包此前已長期閒置，其活躍週期與漏洞出現的時間點高度重合，顯示出攻擊者針對特定歷史數據進行了精準打擊。

深層原因在於 Coldcard 固件中隨機數生成機制的失效。該品牌旗下包括 Mk2、Mk3、Mk4、Q 以及 Mk5 等多個世代產品，其安全性取決於設備創建時運行的固件版本。理論上，種子短語應從龐大的隨機數池中生成，但 Coldcard 固件中的某項設置指示設備跳過硬件隨機數生成器，而輔助庫僅能檢測該設置是否存在，無法判斷其是否被啓用。

Woofun AI 整理數據顯示，私鑰生成工作轉而由基於芯片序列號和時鐘寄存器生成的簡單軟件替代方案完成。由於芯片序列號是工廠預置的固定元數據，時鐘數值也是可測量的時間狀態參數，這些信息均非保密內容，使得私鑰變得可預測。Block 公司的比特幣工程與安全團隊追蹤發現，該問題可追溯至 2021 年 3 月 1 日的代碼修改，並納入 4.0.0 版固件。Coinkite 警告運行 4.0.1 版本或更高版本的 Mk3 設備用戶存在風險，並確認 Mk4、Q 及 Mk5 型號未受影響。

此外，該漏洞還波及紙質錢包私鑰、種子分割掩碼、設備克隆密鑰及密鑰傳輸功能。

Block 公司已將調查結果告知 Coinkite，後者承認了相關問題。兩家公司均表示分析尚處初步階段，Block 公司因攻擊已發生而在未完成全面測試前公開情況。儘管亞洲市場開盤初期比特幣價格曾升至 64,000 美元上方，但此次大規模盜竊事件似乎並未對市場造成顯著衝擊。