MPC钱包深度研究

2026 年 8 月 9 日 · 自托管与密钥安全观察
Coldcard 事件进入第二周，熵源出问题的那批固件已经不是新闻了，值得看的是钱往哪儿走。过去一周有两组数字同时出现，方向看起来相反。
先看链上。Glassnode 数据显示，过去一周约有 21 万枚 BTC 从长期持有者（LTH）钱包里流出，是 2024 年 12 月以来最大的一次下降。[2] Glassnode 把 LTH 定义为持币静默约 155 天、也就是五个多月的实体。[2] 这批供应量现在约 1470 万枚 BTC，事件前接近 1500 万枚，当时逼近历史高位。[2]
关键是 CoinDesk 明确提醒：链上转移不等于卖出。[2] 比特币现在在 6.4 万美元附近，比 10 月历史高点低约 50%。历史上 LTH 大规模动币通常出现在市场高位而不是低位，所以这一波更像保管方式的迁移，而不是信心崩塌。[2]
再看资金面。这里两家口径不一致，都列出来。
The Block 按 SoSoValue 数据统计，上周美国现货比特币 ETF 五个交易日连续净流入，合计约 8.535 亿美元，是 4 月中以来最好的一周；现货以太 ETF 同期净流入约 2.449 亿美元，同样是 4 月以来最佳，并且是连续第五周正流入。[1] 贝莱德 IBIT 一家占了比特币基金流入的 6.937 亿美元，超过总量的八成。[1]
Bitcoin Magazine 那篇用的是另一个统计窗口，按 Bitcoin For Corporations 的面板，七个交易日净流入 7.906 亿美元，其中 7 月 31 日是唯一一个净流出日，流出 2.127 亿美元。[7] 两个数字不冲突，是窗口和数据源不同，别混着引用。
归因这件事，专业分析师自己也留了余地。彭博 ETF 分析师 Eric Balchunas 说 IBIT、FBTC 和另外几只基金自事件后每天都有流入，"很难不在相关性里看到因果"。[1] 但 The Block 同时指出一个反证：Coldcard 的问题只影响特定的比特币冷存储设备，解释不了以太 ETF 为什么也在流入。[1] Bitcoin Magazine 的说法更保守：ETF 流向数据只能告诉你投资者做了什么，无法告诉你为什么。[7]
损失规模仍在往上修，各家口径不同。Galaxy Research 确认的被盗金额为 1.11 亿美元，并称"我们认为总损失很可能超过 1.3 亿美元"。[6] DefiLlama 的黑客追踪器给出的是 1.15 亿美元。[3] Galaxy Digital 另一处统计是三波确认攻击中至少 1 亿美元 BTC 被盗，涉及 7,300 个钱包。[3] 放到月度看，7 月全网被盗 2.474 亿美元，是 2026 年第二差的月份，仅次于 4 月的 6.44 亿美元，也是 6 月 7500 万美元的三倍多。[3]
受害者画像里有个细节值得单独说。Galaxy Research 的 Alex Thorn 分析了 250 份受害报告，被盗的币典型静默时长为 3.5 年，88% 的资金至少存放了一年以上。[6] 按人统计，单个受害者的损失中位数是 1.022 枚 BTC，均值 4.04 枚，最惨的一位丢了 58.97 枚。[6] 中招的是那批把币存起来就不再动的人——恰恰是安全操作规范里最被推荐的行为。
技术根因也比上周清楚了。从 2021 年 3 月发布的 4.0.1 版固件开始，设备用了 MicroPython 的 Yasmarang PRNG，而没有正确使用 STM32 的硬件随机数发生器。[4] Coinkite 自己估算，Mk2 和 Mk3 生成的种子约有 40 位熵，Mk4、Mk5 和 Q 约 70 位，而一个安全的 12 词助记词需要 128 位——两者都差得很远。[4]
行业层面的解读分两派。Blockaid CEO Ido Ben-Natan 把它称作加密行业的"原罪"：私钥的好处是别人进不来，难处是它构成单点故障。[5] 该公司报告称 2026 年上半年被盗资金中近 75% 源于私钥泄露。[5]
另一派的答案是把熵源拿回自己手里。那些用足够多次掷骰子而非依赖设备生成种子的用户，这次没有丢币；掷骰子是普通用户能自己审计的可见过程，而验证 TRNG 需要拆开电路检查加上审读固件。[4]
这两条路指向的是同一个问题的两个答案——单点故障要么靠"我自己看得见"解决，要么靠"不存在单一那一点"解决。
信息来源：[1] The Block 关于上周现货 ETF 资金流的统计（基于 SoSoValue 数据）；[2] CoinDesk 关于长期持有者供应变化的报道（基于 Glassnode 数据）；[3] Cointelegraph 关于 7 月被盗规模的报道（基于 DefiLlama 数据）；[4] Cointelegraph 关于熵源缺陷与掷骰子方案的专题；[5] The Block 对 Blockaid CEO 的访谈报道；[6] Bitcoin Magazine 关于受害者损失分布的报道（基于 Galaxy Research 数据）；[7] Bitcoin Magazine 关于 ETF 资金流的文章（该文由 Bitcoin For Corporations 委托撰写，引用时请注意）。
作者在做一款无助记词的 MPC 钱包，所以在这个题材上有立场。数据都给了出处，判断请自己做。
https://cowallet.ai/en?pid=jingle

2026 年 8 月 8 日 · 自托管与密钥安全观察
七月三十日凌晨，攻击者开始从 Coldcard 硬件钱包里转走比特币。第一波在二十五分钟内从约 500 个钱包搬走 594 枚 BTC，当时价值约 3800 万美元。[1] Galaxy Research 把这批清空动作定位在 UTC 时间 1:10 到 1:51 的 41 分钟窗口内，分散在九个区块。[5]
那只是开始。截至 8 月 5 日，TRM Labs 引用 Galaxy 的追踪数据，四波攻击累计约 1,816 枚 BTC 被转出，涉及 5,200 多个地址，按当时价格接近 1.16 亿美元。[1] 这是 2026 年第三大规模的加密攻击事件，也让今年被盗总额越过 12 亿美元、涉及 276 起事件。[1]
攻击者从未接触过任何一台设备。[5]
## 出问题的地方不是设备，是随机数
硬件钱包的核心承诺是私钥永不离开设备。这次的漏洞绕过了这个承诺——因为它攻击的不是密钥的存放，而是密钥的生成。
2021 年 3 月 1 日的一次代码改动，让固件在生成种子时静默回退到软件随机数生成器，而不是设备的硬件熵源。[6] Coinkite 官方公告确认，受影响的是 Mk2/Mk3 的 4.0.1 到 4.1.9 版本固件。[4]
Block 工程团队的技术分析把根因定位得更具体：编译配置里 `MICROPY_HW_ENABLE_RNG` 被设为 0，因为 Coldcard 自己实现了硬件 RNG 封装；但依赖库 libngu 用 `#ifndef` 检查这个宏，只验证宏"是否存在"而不验证"是否启用"。[6] 于是编译顺利通过，实际绑定到的却是 MicroPython 的 Yasmarang 软件生成器，其初始化输入是芯片 UID 和定时器寄存器——固定的设备标识和可观测的时序状态，不是密码学熵源。[6] libngu 还把这个输出与另一个用公开常量初始化的 Yasmarang 生成器做 XOR，但正如 Block 的报告所说，XOR 不创造熵：两个可复现的输入，异或结果同样可复现。[6]
关于 Mk3 上的有效强度，两家口径不同。按二手报道，有效搜索空间坍缩到约 40 比特。[5] Block 的分析则指出，Mk2/Mk3 v4 路径上没有加入任何密码学熵，在 UID、定时器状态和调用历史已知的前提下，钱包生成是确定性的。[6] 对 Mk4/Q/Mk5，Coinkite 称实际熵约 72 比特而非设计的 128 比特；[4] Block 的说法是安全元件重播种只替换一个 32 位状态字，候选输出流上限为 2^32。[6] 这两个描述不能互相替代，本文把两边都列出。
不管取哪个口径，结论都一样：这不是程度差别。128 比特是算不出来，几十比特是租点云算力就能穷举。攻击者不需要突破任何东西——离线重新生成可能的种子，推导地址，然后检查哪些地址里有钱。[5] Block 也提醒了一句该有的克制：这不意味着任何远程攻击者都能立刻恢复任何种子，实际成本取决于 UID 信息、启动时序和派生开销，报告本身没有给出端到端的穷举基准。[6]
Coinkite 的公告里有一句最要紧的话：更新固件不会改变或修复已经生成的种子。[4] 也就是说，补丁只保护未来创建的钱包。2021 年 3 月之后在受影响固件上生成过种子的人，那串助记词从生成的那一刻起就是弱的，而且一直是弱的。
## 暴露面比损失面宽
已确认的攻击集中在 Mk2 和 Mk3。但 Coinkite 的公告把范围划得更大：Mk4、Mk5 和 Q 设备在修复版本之前生成的种子，实际熵约为 72 比特，而非设计的 128 比特。[4] 这远好于 40 比特，本轮也没有被利用，但仍然低于标准。
两类人不在风险内：创建种子时额外投掷了至少 50 次独立骰子的，因为那部分外部熵不会被固件缺陷抹掉；以及给钱包设了强而唯一的 BIP-39 口令的。[4] Coinkite 同时提醒，口令降低即时暴露，但不修复受影响的种子，这类用户也应尽快迁移。[4]
## 值得记下来的两件事
第一件，审计没抓到它。Coinkite 表示公司在攻击前几周做过一次固件的 AI 审查，那次审查没有发现这个 bug，也没发现其他严重问题。这个 bug 在代码里躺了五年多。TRM 的评论说得比较直接：开源和审计改善安全，但不构成保证。[1]
第二件，钱还没动。TRM 的追踪显示大部分被盗资金汇集在少数几个攻击者地址上，洗钱动作到 8 月 4 日为止只有一笔 64.9 BTC 存入 Wasabi、200 ETH 存入 Tornado Cash。[1] 相比朝鲜 TraderTraitor 这类专业团伙在数小时内就开始激进洗钱，这更像还没想好怎么处理一笔这么显眼的钱。[1] TRM 也因为各波次交易构造方式不同，判断可能存在多个攻击者，目前不归因到特定组织。[1]
## 这件事说明的问题
TRM 在报告里有一句总结值得抄下来：自托管是转移风险，而不是消除风险。钱包的可信度上限，等于生成它密钥的那个过程的可信度。[1]
这句话的适用范围比 Coldcard 大得多。任何把资产安全压在单一密钥载体上的方案——不管那个载体是一台断网的设备、一张纸、还是一个加密文件——都共享同一个结构性问题：只要生成、存储、备份这条链上任何一环出错，就没有第二道防线。这次出错的环节恰好是最不容易被检查的那一环，因为熵的质量不像固件版本号那样能看一眼就确认。
TRM 给出的方向是组合独立设计的设备和独立生成的熵，用互相不依赖的实现来构成纵深防御。[1]
但这里有个限定条件，Block 的报告里写得很清楚，值得单独拎出来：如果一个多签方案里所有设备都是受影响型号，漏洞的影响依然存在；要防住这个问题，需要的是"一组安全设备构成的法定人数"。[6]
这句话把重点从"份额数量"移到了"份额独立性"上。分散签名权本身不构成防护——三个份额如果由同一套有缺陷的实现生成，它们会一起弱。真正提供纵深的是各份额的生成过程互相独立：不同的实现、不同的熵源、不同的信任假设。门限签名和密钥分片方案在这一点上和多签面对同样的检验标准，值得按这个标准去问任何一个声称"拆分密钥"的产品。
## 如果你或者你身边的人用 Coldcard
Coinkite 已经为所有受影响型号发布了修复固件：Mk2/Mk3 升到 4.2.0 及以上，Mk4/Mk5 标准版 5.6.0 及以上，Q 标准版 1.5.0Q 及以上，Edge 轨道另有对应版本。[4] 注意标准版和 Edge 是两条独立的发布轨道，不要因为 Edge 的版本号数字更大就假定它已修复。[4]
迁移步骤按官方公告执行，其中有两处容易出事：先确认旧种子的书面备份和钱包指纹再动手，以及先发一笔小额测试交易确认新钱包可用，之后再转移剩余资金。[4] Coinkite 自己也提醒，仓促迁移造成的风险可能比原问题更即时。[4]
数据说明：本文中被盗规模为截至 8 月 5 日的追踪数据。TRM 明确表示应视为初步数字——资金仍在移动，第四波在其评估时还在内存池中，受害者往往在数月甚至数年间才陆续发现被盗。[1]
作者在做一款无助记词的 MPC 钱包，所以在这个题材上有立场。数据都给了出处，判断请自己做。
https://cowallet.ai/en?pid=jingle