Coinkite首席技術官因比特幣漏洞造成的損失接近1.2億美元而受到指責。

研究人員已將 Coldcard 錢包漏洞的核心錯誤隨機代碼與 Coinkite 聯合創始人兼首席技術官 Peter Gray 聯繫起來。 Bitcoin 開發者 James O'Beirne 表示，Gray 在 2025 年 5 月對有關該缺陷的警告置之不理。. 

目前，該漏洞已導致超過 5200 個 Bitcoin 地址損失約 1.14 億美元，Coinkite 表示該漏洞仍在持續。.

指向某個人的GPG簽名

這個名爲 libngu 的漏洞百出的庫以一個名爲 Switch 的匿名賬戶發佈在 GitHub 上。 於 8 月 4 日 Bitcoin 提供了加密證據，表明該賬戶屬於 Gray。開發者 James O'Beirne發佈的一篇分析文章

O'Beirne 的分析基於 GPG 提交簽名。分析顯示，有 58 個署名爲“Switck”的提交帶有 Gray 個人密鑰的有效簽名，該密鑰也用於簽署 Gray 在同一代碼庫中以 Peter D. Gray 名義提交的內容。. 

相比之下，Switch賬戶並未上傳任何密鑰。分析表明，已通過密碼學方法證明這兩個dent屬於同一人。.

根據 O'Beirne 的分析，這種連接很重要，因爲 Coldcard 的生產固件將 libngu 作爲依賴項引入。O'Beirne 的分析還引用了安全公司 Wizardsardine 的發現，即該庫是與此漏洞有關的三個存儲庫之一。. 

一份2025年5月的報告，結果毫無進展。

奧伯恩 在 2025 年 5 月審覈 Coldcard 固件時，早在一年多前就指出了這種風險。

他說他想確定錢包的隨機性來源，並 traclibngu，之後他立即將可能存在的缺陷告知了 Coinkite。.

奧伯恩寫道：“就是這個人，在2025年5月，對我的報告——關於可能存在缺陷——不屑一顧。”他指的是格雷。他還補充說，他還沒有把那次交鋒的全部經過告訴大家。. 

Coinkite尚未對該報道中的dent認定提出回應。.

2021 年的一次提交，五年內無人察覺

Block 的 Bitcoin 工程和安全團隊 trac2021 年 3 月 1 日的一次提交，該提交改變了 Coldcard 構建錢包種子的方式。此次更改將原本從設備硬件隨機數生成器獲取種子的調用替換爲調用 MicroPython 的軟件隨機數生成器。.

該錯誤隱藏在單個預處理器檢查中。固件版本 4.0.0 於 2021 年 3 月 17 日發佈，並帶有此缺陷。.

這些種子文件的熵值過低，攻擊者可以離線重新生成它們，無需接觸任何設備即可竊取資金。所有盜竊事件均不涉及硬件盜竊、網絡釣魚或惡意軟件。.

Coinkite 通知所有者立即轉移資金

Coinkite已通知用戶立即採取行動。“請務必緊急處理此事。請立即轉移您的資金。”該公司發佈公告稱，並確認漏洞仍在持續，同時要求賬戶持有者提醒其他“不常上網”的人。

並非所有錢包都面臨風險。報告稱，固件版本爲 4.0.1 或更高版本的 Mk3 設備存在風險，而固件版本低於 5.6.0 或 1.5.0Q 的 Mk4、Mk5 和 Q 設備用戶應更新固件，創建新的助記詞，並將加密貨幣轉移出去。. 

使用設備擲骰子選項創建的錢包（用戶至少輸入 50 次實際擲骰結果）從未出現過攻擊路徑，因此被認爲是安全的。tron的 BIP-39 密碼短語和多重簽名設置（其中 Coldcard 密鑰只是多個簽名者之一）也經受住了考驗。.

四波巨浪共造成近1.14億美元的損失

盜竊 事件呈爆發式發生。7月30日的第一波盜竊潮在41分鐘內從1196個地址中盜走了約1083個比特幣，價值約7000萬美元。隨後五天內又發生了三波盜竊潮，Galaxy Research統計到8月3日清晨的第四波盜竊潮，使累計被盜比特幣數量達到約1816個。 

一些報道 稱其價值接近 1.16 億美元，而另一些報道則稱其按當前價格計算價值爲 1.14 億美元。

Bitcoin 本身 幾乎沒有波動，8 月 4 日美國交易時段的交易價格接近 63,800 美元。競爭對手錢包製造商 Ledger 的網絡安全專家 Vincent Bouzon 表示，這一事件是“一次實施失敗，而不是對自我託管的判決”，並補充說，熵“必須錨定在安全的硬件上”。

最頂尖的加密貨幣專家都在閱讀我們的簡報。想 加入他們？