Post

冷钱包也不安全了：Coldcard固件漏洞、Ledger供应链攻击——你的BTC真的属于你吗？你花了1000块买个冷钱包，以为资产万无一失。一年之内，两次事件告诉你——冷钱包也可能是一颗定时炸弹。第一个炸弹：Coldcard，你根本没碰过设备，钱没了。 2021年3月，加拿大硬件钱包制造商Coinkite给Coldcard固件引入了一个致命缺陷：设备生成助记词时，没有调用真正的硬件随机数芯片，而是用了软件伪随机数生成器。通俗说就是——你以为的“随机”，其实不随机。攻击者根本不需要碰你的设备，甚至不需要你联网，就能从数学上批量推算出你的助记词。第一次攻击发生在2026年7月30日。25分钟内，约594枚BTC从500个地址中消失。这只是开始。随后又来了至少三波攻击，最终超过1,816枚BTC从5,200多个地址被转走，损失约1.14亿至1.16亿美元。有用户说，他的Coldcard从来没连过互联网，助记词也从未外泄，资产依然被盗。Coinkite的官方回应只有一句话：2021年3月以来生成的助记词，全部视为可能已泄露。升级固件也没用——已经生成的助记词永远不安全，你必须创建新助记词、转移资产。第二个炸弹：Ledger，你从经销商手里买到的可能是被人动过手脚的设备。 10月9日，Ledger用户爆发大规模被盗，损失超过8,600万美元，涉及以太坊、TRON、比特币等多条链上数百个钱包。受害者有一个共同特征：都通过东南亚经销商CryptoBilis购买设备。 Mt. Gox前CEO Mark Karpelès拆开一台来自马来西亚的Ledger后发现，设备内部藏着一块额外电路板，带有LTE模块和eSIM。这块板可以读取传送到屏幕的信号，在你初始化设备时截取助记词，再通过移动网络传出去。你以为是“官方授权经销商”，其实设备从出厂那一刻就被人拆过、装过、动过手脚。更扎心的信号是：整个DeFi基础设施的安全假设正在被逐一击穿。 Balancer被盗1.28亿美元，Kelp DAO被盗2.92亿美元，Stream Finance合成美元xUSD脱锚，Aave总锁仓价值5天内从260亿跌到142亿。从借贷协议到合成美元，从交易所到个人硬件钱包——每一个你以为“安全”的环节，都在这一年里出过事。你该怎么做？三件事，今天就做。第一，通过官方渠道买硬件钱包。别贪便宜走经销商，别从第三方买。Ledger事件已经告诉你，供应链攻击就藏在“授权经销商”这四个字背后。第二，Coldcard用户立刻检查。如果你在2021年3月之后在Coldcard上生成过助记词，今天就创建新钱包、转移资产。旧助记词永久不安全。第三，大额资产用多签。单签名钱包是Coldcard攻击的主要目标。用Trezor Safe 7、Ledger Nano和Casa恢复密钥组成2-of-3多签，任何单一设备出问题，你的资产都还在。不要把鸡蛋放在一个篮子里——更不要把私钥交给一个设备。 1011告诉我们杠杆会杀人。这一年告诉我们——连冷钱包都可能出卖你。在这个市场，安全的唯一敌人是你的侥幸。 $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入