Coinkite CTO Peter Gray与价值1.14亿美元的Coldcard黑客攻击背后的代码有关

研究人员已将Coldcard钱包漏洞中心有缺陷的随机数代码与Coinkite联合创始人兼CTO Peter Gray联系起来，比特币开发者James O’Beirne表示，Gray在2025年5月曾对这一缺陷的警告不屑一顾。 

该漏洞现已从5,200多个比特币地址中盗取约1.14亿美元，Coinkite表示该漏洞仍在活跃中。

指向一个人的GPG签名

有缺陷的库名为libngu，由一个名为Switch的匿名账户发布在GitHub上。 比特币开发者James O’Beirne于8月4日发布的 分析

提供了密码学证据，证明该账户属于Gray。 

O’Beirne的撰写基于GPG提交签名。根据分析，有58个提交由“Switck”署名，但带有Gray个人密钥的有效签名，该密钥也用于在同一存储库中以Peter D. Gray的名字签署他的提交。

相比之下，Switch账户没有上传自己的密钥。分析指出，密码学已证明这两个身份是同一个人。 

May 2025的一份报告无疾而终

O’Beirne标记了风险 早在2025年5月审计Coldcard固件时就已指出。

他说，他想确定钱包的随机数来源，并将其追溯到libngu，随后他当时通知了Coinkite关于这一可能的缺陷。

“就是这个人，他在2025年5月对我的缺陷可能性报告不屑一顾，”O’Beirne写道，指的是Gray。他补充说，他尚未讲述那次交流的全部故事。 

Coinkite尚未回应报告中的身份主张。

2021中的一个提交，五年未被注意

Block的比特币工程和安全团队将其追溯到2021年3月1日的一个提交，该提交改变了Coldcard构建钱包种子的方式。该更改将调用从设备硬件随机数生成器获取数据的代码，替换为回落到MicroPython软件随机器的代码。

这个错误隐藏在一个预处理程序中。固件版本4.0.0于2021年3月17日发布，带有该缺陷。

种子构建的熵不足，因此攻击者可以离线重新生成种子并盗取资金，而无需接触设备。所有盗窃案均未涉及硬件被盗、网络钓鱼或恶意软件。

Coinkite告诉所有者立即转移资金

Coinkite已告知用户紧急行动。“请将此视为紧急情况。迁移您的资金，”该公司发帖称，同时确认漏洞仍在进行中，并要求持有者提醒那些“不太在线”的人。

并非所有钱包都暴露在外。据报道，在固件4.0.1或更高版本上设置的Mk3设备存在风险，而运行低于5.6.0或1.5.0Q固件的Mk4、Mk5和Q所有者应更新、创建新种子并转移资金。 

使用设备骰子选项构建的钱包（用户输入至少50次物理滚动）从未运行损坏的路径，被认为是安全的。强大的BIP-39密码短语和多签设置（其中Coldcard密钥只是多个签名者之一）也经受住了考验。

损失接近114百万美元，分四波

The 盗窃是分阶段进行的。7月30日的第一波在41分钟内从1,196个地址中转移了约1,083 BTC，价值约7,000万美元。随后五天又发生了三波，Galaxy Research计算8月3日凌晨的第四波扫荡，使累计总额达到约1,816 BTC。 

一些报告 将价值定为接近1.16亿美元，而其他报告引用当前价格下的1.14亿美元。

比特币本身 几乎没有波动，8月4日美国交易时段交易价格接近63,800美元。竞争对手钱包制造商Ledger的网络安全专家Vincent Bouzon表示，这一事件是“一次实现的失败，而非对自我托管的判决”，并补充说熵“必须锚定在安全的硬件中”。