$BTC 硬件钱包厂商 Coldcard 的官方 X 账号，今天北京时间下午 1 点 46 分发出一条带链接的帖子，伪装成「紧急安全更新」，声称出现新的助记词生成漏洞，要求持有者尽快把资产迁到新网站。帖子很快被删掉。
团队随后公开警告：不要访问、不要交互那个链接，唯一官网是 coldcard.com。研究者 PortlandHODL 查看了那个仿冒站点，页面照搬了品牌标识，开口索要 12 个或 24 个助记词。他把代码丢进沙箱跑了一遍，输入内容被发往外部服务器。
更值得琢磨的是第二份说明。该账号自 2017 年起就启用离线双因素认证，访问权限收到极紧。团队向平台方查证后回复，查不到任何对应的登录记录、会话记录或访问记录，凭据和离线双因素都还在。他们把这称为平台层面或管理权限层面的越权访问，成因仍未查清。截至目前，没有任何渠道报告资金损失。
时间点也不轻松。就在两个多月前，这家厂商才披露过助记词随机数生成的一处缺陷，受影响批次需要重新生成种子并迁移资产，公开报道给出的损失规模超过 1.1 亿美元。
硬件钱包的整套卖点建立在「我不信任何在线的东西」上。真正被击穿的环节，恰恰是那台从不联网的机器管不到的地方。
#比特币自托管 #硬件钱包
团队随后公开警告：不要访问、不要交互那个链接，唯一官网是 coldcard.com。研究者 PortlandHODL 查看了那个仿冒站点，页面照搬了品牌标识，开口索要 12 个或 24 个助记词。他把代码丢进沙箱跑了一遍，输入内容被发往外部服务器。
更值得琢磨的是第二份说明。该账号自 2017 年起就启用离线双因素认证，访问权限收到极紧。团队向平台方查证后回复，查不到任何对应的登录记录、会话记录或访问记录，凭据和离线双因素都还在。他们把这称为平台层面或管理权限层面的越权访问，成因仍未查清。截至目前，没有任何渠道报告资金损失。
时间点也不轻松。就在两个多月前，这家厂商才披露过助记词随机数生成的一处缺陷，受影响批次需要重新生成种子并迁移资产，公开报道给出的损失规模超过 1.1 亿美元。
硬件钱包的整套卖点建立在「我不信任何在线的东西」上。真正被击穿的环节，恰恰是那台从不联网的机器管不到的地方。
#比特币自托管 #硬件钱包