Coldcard 制造商 Coinkite 遭集体诉讼，固件漏洞致超 1.4 亿美元比特币被盗
TREE NEWS 报道， 加拿大安大略省高等法院近日受理一起集体诉讼，指控 Coldcard 硬件钱包制造商 Coinkite 及其联合创始人 Rodolfo Novak、Peter D. Gray 因固件构建错误导致钱包助记词可被复现。起诉书称，自 2021 年 3 月起，该固件错误地使用了 MicroPython 的 Yasmarang 伪随机数生成器，削弱了助记词生成的随机性。攻击者自 2026 年 7 月 30 日起利用该漏洞盗币，首轮 25 分钟内转走约 594 枚 BTC，累计损失超过 1.4 亿美元。起诉书还指出，两名创始人最迟于 2025 年 5 月已知悉该缺陷。
技术剖析：伪随机数生成器如何酿成 1.4 亿美元漏洞
Yasmarang 是 MicroPython 中一种非加密安全的伪随机数生成器。若用于生成助记词种子，其输出可能被预测，攻击者可通过暴力破解或重构私钥。硬件钱包的核心安全承诺在于离线生成高熵随机数，而这一环节的缺陷直接动摇了自托管的安全根基。25 分钟内盗走 594 枚 BTC 表明攻击高度自动化，可能利用了预计算表或实时种子破解。
行业影响：自托管信任面临考验
这起诉讼给硬件钱包行业带来了严峻拷问。若领先制造商能在多年间出货搭载弱随机数生成器的固件，整个生态的安全标准将受到质疑。起诉书称创始人早在 2025 年 5 月已知情，但漏洞利用发生在 2026 年，若延迟披露属实，可能严重削弱市场对 Coinkite 的信任，并波及竞争对手。监管机构和审计方可能面临压力，需为加密设备的熵生成建立认证标准。对用户而言，此案凸显了验证固件完整性和考虑多签或气隙方案的重要性。
展望：法律与市场连锁反应
集体诉讼寻求未具体说明的损害赔偿，但 1.4 亿美元的损失金额已设定高额基准。Coinkite 尚未公开回应指控。案件结果可能取决于法院是否认定公司在固件开发和披露方面存在过失。与此同时，加密社区可能要求硬件钱包制造商提高透明度，自托管保险产品也可能获得更多关注。随着法律程序推进，此案或将成为去中心化金融基础设施责任认定的标志性案例。
