没有绝对的安全：比特币钱包被攻击 损失已扩大到8860万美元

作者：GoMoon

如果问大家一个问题，存放加密资产最安全的方式是什么？

很多人的第一反应就是硬件钱包，但这个号称最安全的存储方式如今出了大问题。

就在最近，加拿大硬件钱包 coldcard 被爆出，存在安全漏洞被黑客攻击，第一波攻击在短短25分钟内，约500个比特币钱包地址遭到攻击，594枚比特币被黑客转走了，价值约为3800万美金，目前总共被攻击了三波攻击者控制资金已达 1366.3865 枚 BTC（约 8860 万美元），第一、二波资金共 1158.8148 枚 BTC 分布在 7 个持续监测中的地址，很多钱包甚至已经存储了好几年，从来没有进行过交易，却依然没能逃过这次攻击。

有人觉得不可思议。硬件钱包不是离线了吗？为什么资产还会被盗？

答案其实很简单，离线只能防止别人远程操作你的私钥。但如果钱包私钥在诞生那一刻起就存在安全问题，再离线也没有意义。

在此次事件，问题出在钱包生产商 coldcard 部分固件版本生成助记词的过程，原本应该使用硬件随机数生成器来创建私钥，但由于程序配置错误，系统没有调用真正的硬件随机数，而是使用了与设备序列号，芯片，时钟等信息有关的软件随机数。这些数据并不是绝对保密的，黑客通过算法不断缩小范围，最终推算出部分钱包的助记词，把资产全部转走。

这次事故罪魁祸首不是比特币不安全，也不是区块链被攻破，而是钱包软件本身出现了漏洞。

目前 Coldcard 硬件钱包制造商发公告表示，已通过其商店和邮件订阅系统向所有可触达的用户地址发送了安全公告邮件，邮件自上周五起分批发出。若用户收到该邮件，可确认其确实来自 Coinkite 官方。Coinkite 同时提醒，用户应以官网博客发布的最新时间戳公告为准，不要轻信截图、转发内容、汇总信息或不明来源的消息；Coinkite 永远不会索要用户的 PIN 码、助记词、BIP-39 密码短语，也不会要求用户为一笔未经核实的 PSBT 交易签名。

如果有使用该产品的朋友，不管何时买的，小编建议先更换设备，主动迁移资产，君子不立于危墙之下，钱包的漏洞修复无法覆盖已生成的旧钱包。

这次事件告诉所有 web3玩家一个道理。不要神话任何一款安全产品。这个行业没有绝对的安全！

但大家不必过分恐慌，硬件钱包依然值得相信，重点是如何正确使用，我的建议有三个：

1. 优先选择，经过市场长期验证的大品牌的硬件钱包。他们拥有更加成熟的安全体系和更快的漏洞恢复能力。

2. 不要把所有的加密资产放在同一个硬件钱包里。可以买多个硬件钱包，把长期持有的资产，日常交易的资金以及不同用途的资产分别存放。这样即使其中一个钱包出现了漏洞，也不会让你的资产全部归零。

3. 养成关注官方安全公告和升级固件的习惯。因为很多漏洞都会通过新版本来修复。

真正决定你资产安全的不是你用了什么钱包，而是你的安全意识和资产配置方式。不要迷信任何一款硬件钱包。更不要把所有的鸡蛋放在同一个篮子里。这才是 web3 玩家最应该建立的安全思维。