硬件钱包离线为何仍被盗？Coldcard 7000万美元失窃事件的RNG降级漏洞与机构级HSM防护

2026年7月底，加密货币行业发生的一起安全事件冲击了公众对资产存储的认知：以“物理隔离、私钥不出设备”著称的比特币硬件钱包Coldcard遭到大规模黑客攻击。攻击者在短短41分钟内，直接从1,196个Coldcard钱包地址中窃取了超过1,080枚比特币，造成约7,000万至8,860万美元损失。令人震惊的是，攻击全程未接触任何物理设备，且大量被盗钱包已离线存放于保险箱中多年。

这一案例再次证明，数字资产安全的底层防御并不取决于设备是否联网，而在于私钥生成时的物理随机性（熵），以及存储与审批环节是否具备金融级硬件隔离。

事件回顾：固件配置疏忽酿成“41分钟离线破解”

许多投资者盲目相信“只要私钥存在于离线硬件设备，资产就绝对安全”。然而，Coldcard失窃事件表明，私钥的命运在其生成那一刻便已注定。

据Block工程团队及链上安全机构的深入复盘，漏洞源于2021年3月Coldcard固件更新中的一处配置逻辑疏忽：

随机数生成器（RNG）降级：硬件钱包生成私钥的底层逻辑是通过提取物理噪声产生高熵真随机数（TRNG）。但有缺陷的Coldcard固件在生成根随机数（Seed）时意外跳过了硬件随机数生成器，回退至基于固件代码计算的软件伪随机数生成器（PRNG）。

熵值崩溃：该伪随机算法仅依赖设备固定序列号和初始化时间寄存器，导致本应有2^256（天文数字级别）的私钥生成空间崩溃至仅约2^32（约40亿种可能）。

离线穷举与全网计算：对黑客而言，解题空间从“大海捞针”变为“数十亿次简单枚举”。攻击者只需在本地计算设备上快速跑完这40亿组助记词组合，推导对应公钥地址并与区块链账本比对。一旦匹配成功，即可直接在链上广播交易，一次性将离线钱包资产转走。

正如导致1.6亿美元损失的Profanity虚荣地址漏洞，以及因弱随机性损失约12.7万枚BTC（约150亿美元）的Lubian矿池事件所示，算法熵值的缺失是加密世界中最隐蔽且致命的毒药。

私钥生命的起点：从真随机数到源安全

在密码学中，随机数是一切安全规则的基石。区块链私钥由助记词派生，而助记词完全取决于初始生成随机数的熵值。

普通软件伪随机算法（PRNG）源于确定性数学公式，只要知晓初始种子或变量，后续“随机序列”即可被完全预测。真正的安全必须依赖真随机数生成器（TRNG），通过捕获量子微噪声、电路热噪声或原子衰变等不可预测的物理现象，提取纯粹的“物理熵”。

HSM私钥生成范式

为从根源上消除因逻辑计算缺陷导致的熵崩溃风险，Cactus Custody拒绝使用任何软件伪随机模型。在其架构中，私钥与种子均直接在通过最高安全等级认证的硬件安全模块（HSM）内部生成。该HSM配备工业级物理熵源发生器（TRNG），通过物理热噪声产生不规则且不可预测的真随机数，确保私钥生成空间具备完整密码学强度，在数学上阻断离线破解或逆向工程的可能。

托管架构对比：消费者级冷钱包与机构级HSM硬件底座

除了生成阶段的熵值问题，消费者级硬件钱包与机构级托管在存储机制上也存在根本性代差。

消费者级硬件钱包的天然局限

普通消费者级硬件钱包（如Ledger、Trezor或Coldcard）的核心功能是防止联网电脑上的恶意软件直接窃取私钥。但为方便普通用户备份与迁移，这些设备中的私钥及12/24位助记词本质上可被导出或以纸质形式备份。一旦助记词被写下、拍照或物理接触，黑客即可在任意设备上复刻私钥。

金融级HSM物理防护

作为专业机构数字资产托管服务商，Cactus Custody采用全球顶尖金融机构与央行广泛使用的Thales硬件安全模块（HSM）作为底层防御。

【消费者级冷钱包】私钥生成——存储于消费级芯片——助记词可导出/备份——面临物理接触泄露/穷举风险

【Cactus Custody机构级HSM架构】TRNG物理真随机生成——锁入Thales HSM内部——强制标记“不可导出”——物理拆解自毁

不可导出：在Thales HSM中，私钥于芯片内部生成后即被强制标记为不可导出。私钥从出生到使用，永远无法物理脱离HSM的安全边界。

芯片内封闭签名：所有交易签名均在HSM安全区内完成，仅向外部广播合法的签名结果。攻击者无法通过远程网络或固件提取接触到私钥本身。

物理防拆与自毁机制：Thales HSM具备军用级物理防护外壳。任何试图物理拆解、微探针扫描或通过环境异常攻击HSM的行为，都会瞬间触发电路保护，自动清除并物理销毁芯片内存储的所有密钥，阻断物理窃取路径。

多签架构：采用多签名治理架构，单一私钥无法独立支配冷存储资金，消除单点决策，显著降低单点故障与内部舞弊风险。

独立随机私钥生成：每个地址的私钥均由HSM内置的硬件真随机数生成器（TRNG）独立生成，符合FIPS 140-2/3及NIST SP 800-90标准，不采用主种子派生（如BIP32/44 HD钱包）架构。各密钥之间无数学关联，杜绝“一点失守、全线崩溃”的批量风险，从根本上移除单点故障。

事件启示：大额资产安全需要关注哪些指标

正如密码学专家Bruce Schneier所言：“安全是一个过程，而非产品。”对数字资产托管而言，没有单一钱包或技术能够万能；分层防御、多签与风险分散才是安全的真正终点。

从盲签攻击（如Bybit 15亿美元事件）到Coldcard熵崩溃事件，事实反复证明，随着攻击手段向离线计算破解、供应链投毒和高维社会工程演进，仅依赖零售级消费者冷钱包管理大额资产，已越来越难以应对当前安全挑战。

数字资产治理正加速迈入机构化时代。通过物理HSM硬件、合规信托架构以及SOC/ISO双重审计体系的结合，机构级托管正在为Web3机构、基金及高净值客户提供更稳固的资产保护屏障。