#99 - 深度拆解 Coldcard 随机数漏洞：为什么最“安全”的钱包成了黑客提款机？ (曾汨 @zengmi2140 , 九神二号 @arh9992 , Jerry @abigelephant ) https://youtu.be/r37CArOA0oQ 近期，比特币硬件钱包标杆 Coldcard 爆发了严重的随机数生成器漏洞。该漏洞源于 2021 年 3 月的一次固件更新，导致钱包生成的助记词空间远低于理想的 128 位，黑客可以利用高算力轻易暴力破解。目前已有超过 500 颗比特币被盗。 本期视频，我们邀请到了曾汨老师和九神二号老师，针对这一震撼行业的事件展开深度讨论。我们将解析漏洞的底层技术原因，讨论受影响的型号（MK3, MK4, MK5, Q），并为受影响的用户提供切实可行的资产保护建议。 【核心内容】 漏洞溯源： Coldcard 如何在 2021 年的固件中引入了低熵（2的32-40次方）漏洞，而非正常的 128 位随机空间。 谁受影响？ 凡是在 2021 年 3 月之后更新过固件并生成助记词的用户（MK2、MK3、MK4、MK5、Q 等）均可能面临风险。 唯一的例外： 为什么只有手动“掷骰子”（Dice Rolls）生成助记词的用户才能在这场危机中幸免？ 紧急避险措施： 为什么你应该立即将资产转移到交易所、热钱包或其他安全的硬件钱包，而不是仅仅更新固件。 进阶安全策略： 详解 BIP39 Passphrase（密码短语）、多签钱包（Multi-sig） 以及 DIY 硬件钱包（如 SeedSigner） 的优势。 反思自托管： 在“不要信任，要验证”的口号面前，我们该如何构建真正稳固的资产保护体系？ 【时间戳】 • 开场与事件背景 • 漏洞技术解析：什么是随机数熵值不足？ • 受影响型号汇总：MK3, MK4, MK5 无一幸免？ • 掷骰子（Dice Rolls）的安全性讨论 • 密语（Passphrase）能保命吗？ • 多签（Multisig）与不同品牌组合的重要性 • 为什么更新固件并不能直接解决老助记词的问题 • DIY 硬件钱包（SeedSigner/Krux）介绍 • 总结：对比特币自托管未来的信心 【特别提醒】 自托管不是一劳永逸的，它需要持续的学习和危机演练。 如果你身边有使用 Coldcard 的朋友，请务必转发此视频提醒他们！