你的加密貨幣錢包正在流血！Ill Bloom 漏洞恐讓數千人資產歸零

當錢包裡的幣在一夜之間消失

你有沒有想過，某天醒來開啟手機，發現錢包裡的比特幣、以太幣全部不見了？不是因為你亂點連結，不是因為你把私鑰給了誰，而是因為當初產生錢包的那個「隨機數」根本不夠隨機。這不是科幻情節，這是正在發生的「Ill Bloom」漏洞事件。

區塊鏈安全研究公司 Coinspect 在上週日發布了一份震撼業界的報告，他們發現了一個代稱為「Ill Bloom」的嚴重漏洞。這個漏洞影響了比特幣、以太坊、Polygon、Rootstock、Tron 以及 Solana 等多條區塊鏈的錢包。問題出在某些軟體錢包在產生助記詞（recovery phrase）時，使用了不夠安全的隨機數生成器，導致駭客可以透過暴力破解的方式，直接把你的私鑰算出來，然後轉走你的資產。

截至目前為止，至少已有 500 萬美元的加密貨幣被盜走。但這可能只是冰山一角，因為還有更多錢包暴露在風險之中，而受害者可能還沒發現自己的資產已經被清空。

什麼是助記詞？為什麼它這麼重要？

如果你有使用過加密貨幣錢包，你一定聽過「12 個單字」或「24 個單字」的助記詞。這些看起來像是隨機排列的英文單字，其實是你錢包的「萬能鑰匙」。只要擁有這組助記詞，任何人都可以完全控制你的錢包，轉走裡面的所有資產。

正常情況下，這組助記詞應該是由密碼學安全的隨機數生成器（CSPRNG）產生的，理論上的可能性超過 2 的 128 次方，幾乎不可能被暴力破解。但 Ill Bloom 漏洞的問題在於，某些軟體錢包使用了較弱的偽隨機數生成器（PRNG），導致可破解的可能性大幅降低，變成駭客可以透過有限資源進行攻擊的目標。

誰是受害者？

Coinspect 的報告指出，這次漏洞主要影響的是「較少被使用的移動端軟體錢包」。也就是說，那些你在應用程式商店裡隨便下載的、知名度較低的錢包 App，可能是最危險的。

受影響的範圍涵蓋 2018 年以來生成的錢包。也就是說，如果你是在那之後下載了某些小眾錢包 App 並建立了錢包，你的資產可能已經暴露在風險中。更糟糕的是，由於攻擊者可以在不觸發任何警告的情況下完成盜竊，很多受害者可能壓根不知道發生了什麼事。

資料顯示，在 5 月 27 日的攻擊中，2114 個存在漏洞的錢包裡，有 431 個被攻擊，總共損失了 310 萬美元的加密貨幣。而在 6 月 30 日，又有一波攻擊帶走了另外 200 萬美元。這只是已知的金額，實際損失可能更高。

硬體錢包使用者可以放心

在這個風聲鶴唳的時刻，有一個訊息可以稍微讓人安心：Coinspect 明確表示，使用硬體錢包（如 Ledger、Trezor 等）的使用者不會受到影響。原因很簡單——硬體錢包的助記詞是在裝置內部生成，然後直接顯示在裝置的螢幕上，整個過程不會受到電腦或手機上任何軟體的影響。

此外，Coinspect 也提到，目前大多數主流的軟體錢包（如 MetaMask、Trust Wallet 等）已經修復了這個問題，不太可能受到影響。最可能受到影響的，是那些使用了較老舊或較少人使用的移動端軟體錢包的使用者。

我該怎麼保護自己？

首先，趕快去 Coinspect 提供的檢查工具（wallet checker）查詢你的錢包地址是否在風險名單中。如果你發現自己的地址暴露了，最安全的做法是盡快將資產轉移到一個乾淨的、由硬體錢包建立的新錢包。

其次，從現在開始，永遠不要把大量資產放在軟體錢包裡。軟體錢包雖然使用方便，但它們始終連線著網路，永遠存在被攻擊的風險。把大額資產放在硬體錢包裡，才是真正安全的做法。

第三，下一次當你想下載一個新的錢包 App 時，請先做好功課。檢視開發團隊的背景、審計報告、社群評價。不要因為介面漂亮或獎勵誘人，就隨便把資產放進去。

這不是第一次，也不會是最後一次

其實，這種型別的漏洞在加密貨幣歷史上已經不是第一次出現了。2023 年，Ledger 的安全團隊發現，Trust Wallet 瀏覽器擴充功能產生的錢包種子存在漏洞，總共只有約 40 億種可能的助記片語合，駭客只需要幾塊顯示卡，就能在一天內破解。同年，Libbitcoin Explorer 錢包的漏洞也導致了 90 萬美元的加密貨幣被盜。

這些事件一次又一次地提醒我們：加密貨幣的世界雖然去中心化、看似安全，但在「鑰匙」的產生環節，只要有那麼一點點的疏漏，就可能造成無法挽回的損失。

結語：在這個世界裡，沒有絕對的安全

Ill Bloom 漏洞再次向我們證明，加密貨幣的安全從來都不是一個「設定好就沒事」的事情。它需要我們持續關注、主動學習，並且願意為了保護資產而做出一些「不方便」的決定——比如花錢買一個硬體錢包，比如每次轉帳前都仔細確認地址。

如果你身邊有朋友在使用加密貨幣，請把這篇文章分享給他們。太多人以為自己很安全，直到損失發生才追悔莫及。這個市場很瘋狂，但我們可以選擇不要成為那個倒楣的人。

記住：在加密貨幣的世界裡，最大的敵人往往不是駭客，而是自己的僥倖心理。