據 Woofun AI 消息，Kraken 首席安全官尼克·佩爾科科在 X 平臺發聲，將 Coldcard 設備長達五年的種子生成漏洞定性爲硬件錢包行業的'警鐘'。他強調，當前市場缺乏對生產級固件中隨機數生成源驗證的獨立測試機制，導致消費者被迫盲目信任製造商對核心安全功能的實現方式，而這一信任鏈條在近期攻擊中徹底斷裂。

此次安全危機直接導致近 9000 萬美元的 Bitcoin 資產流失，截至週日，已有超過 4,500 個地址確認受到影響。追溯技術根源，Coinkite 於週四披露，該缺陷自 2021 年 3 月便已潛伏，當時 Coldcard 在整合新加密庫時意外改變了種子生成流程。原本旨在提供高熵值的真正隨機數生成器（TRNG）被邊緣化，轉而啓用了代碼庫中較爲薄弱的 MicroPython 僞隨機數生成器。Coinkite 在事後分析中承認，儘管精心編寫的 TRNG 代碼依然存在，卻僅偶然用於非關鍵功能，而絕大部分隨機數實際源自那個未被察覺的僞隨機數生成器。

這種架構上的錯位使得漏洞長期隱匿，因爲常規代碼審查雖能確認 TRNG 代碼的存在，卻無法驗證其在運行時是否被實際調用。Woofun AI 整理數據顯示，這種'代碼存在但未被執行'的邏輯斷層，正是導致弱助記詞批量生成並被攻擊者利用的核心原因。

從行業標準對比來看，佩爾科科指出此類驗證在其他安全領域已是常態。例如，美國政府遵循 NIST SP 800-90B 標準，對用於加密安全的物理型真正隨機數生成器進行嚴格的設計、測試和驗證；德國聯邦信息安全局也制定了 BSI AIS-31 標準。相比之下，硬件錢包行業僅依賴供應商主導的審計和部分 CSPN 認證，缺乏類似支付行業那樣在產品出廠前強制進行的獨立實驗室測試流程。佩爾科科強調，既然美國政府不接受未經隨機數來源驗證的加密模塊，那麼數字資產的自託管領域也不應成爲例外，必須建立系統性的機制來確保最終驗證通過的隨機數來源與生產級固件實際調用的來源完全一致，而非僅僅停留在紙面合規。

面對嚴峻局勢，Coldcard 於週日宣佈停止所有設備發貨，並銷燬了工廠內所有裝有受影響固件的設備。然而，Coinkite 建議持有受影響設備的用戶切勿丟棄硬件，因爲這些設備可能在後續找回丟失資金的過程中發揮關鍵作用。

與此同時，Coinkite 的法律團隊已啓動應對程序，計劃與多個司法管轄區的執法部門展開協作，全力追蹤並鎖定責任方。這一事件不僅暴露了單一廠商的技術疏漏，更揭示了整個 Web3 自託管生態在供應鏈安全驗證環節的結構性缺失，未來行業或將面臨更嚴格的合規審查與第三方審計壓力。