Coldcard 發布緊急性安全公告：舊種子密鑰必須更換！2026 最新固件更新重點一次看

如果你使用的是 Coldcard 硬體錢包，這篇文章可能攸關你的比特幣資產安全。老實說，2026 年這波 Coldcard 安全事件在加密貨幣圈鬧得很大——損失金額高達 1,778 BTC（約新台幣 3,500 萬美元，兌換新台幣超過 100 億），是 2026 年第三大加密貨幣攻擊事件。這不是恐嚇，而是事實。讓我們一次把整件事講清楚。

什麼是 Coldcard？為什麼這次事件這麼嚴重？

Coldcard 是 Coinkite 公司推出的比特幣硬體錢包，主打離線簽署、強調安全姓。對長期持幣的玩家來說，這類硬體錢包是存放比特幣的標配。但就在 2026 年 8 月，Coinkite 緊急發布了新的固件更新，代號 5.6.1（Mk4、Mk5）和 1.5.1Q（Coldcard Q）。

問題出在哪裡？根據 Galaxy Research 的報告，2026 年 3 月的某個固件更新曾經出現漏洞 bug，讓某些 Coldcard 錢包的隨機性大幅下降——金鑰強度從原本的 128 bits 硬生生被削弱到只剩 40 bits。這意味什麼？攻擊者理論上可以在沒有實際接觸到設備的情況下，用暴力破解的方式猜出你的私鑰。

漏洞影響範圍與損失

截至目前為止，確認的損失已經達到 1,778 BTC，以 2026 年 8 月的價格計算，約值 1.12 億美元。這讓 Coldcard 攻擊事件成為 2026 年第三大的加密貨幣駭客事件，前兩名分別是 MayaChain 的 1.7M 美元攻擊案，以及其他大型交易所的安全事故。

新固件更新到底改了什麼？

Coinkite 在 2026 年 7 月 31 日先發布了一個更新，修復了新錢包創建時的漏洞；而 8 月這次的更新則是「全面加固」版本，主要改進有以下幾點：

• 強制用戶提供額外熵源（entropy）：新錢包生成時，用戶必須透過至少 65 次不規律按鍵、投擲 50 次六面骰子，或拋硬幣 128 次來提供額外隨機性。這些用戶輸入會與設備本身的隨機數生成器（RNG）混合，構成更強的加密基礎。
• 多源隨機性混合：結合安全元件（secure element）和硬體 RNG，確保即使其中一個隨機來源出問題，整體密鑰依然安全。
• USB 傳輸防護：針對「被入侵的電腦 USB 孔」這種理論攻擊向量，現在在交易簽名前會重新驗證所有細節。
• 硬體 RNG 檢查：每次開機都會執行硬體隨機數測試，確保設備使用正確的硬體路徑。
• 限制特定簽名模式：某些允許交易輸出被修改的比特幣簽名雜湊模式，現在預設被封鎖。

但這裡有個關鍵點：即使你更新到最新固件，舊的种子短语（seed phrase）仍然不安全。Coinkite 已經明確告訴用戶：必須重新生成一組新的种子密鑰，並在轉移資金後才能算是真正安全。

我該怎麼做？行動清單在這裡

如果你正在讀這篇文章，而且你手邊有 Coldcard，請照以下步驟操作：

1. 立即更新固件：到 Coinkite 官網下載最新的 5.6.1（Mk4/Mk5）或 1.5.1Q（Q 版本）。
2. 生成新的种子密鑰：按照前述的 65 次按鍵、50 次骰子或 128 次硬幣的流程，親手提供額外熵源。
3. 轉移資產：將舊錢包裡的比特幣轉移到新生成的錢包地址。
4. 銷毀舊种子：將寫下舊种子密鑰的紙張銷毀，確保沒有後續風險。
5. 使用 Coinspect 的 Unlukey 工具：這是一個免費的線上工具，可以檢查你的錢包地址是否在「弱种子」清單中。強烈建議去驗證一下。

其他錢包也可能有風險？

這次事件不是只有 Coldcard 受影響區塊鏈安全公司 Coinspect 同時發布了一款名為「Unlukey」的工具，用來幫助用戶檢查自己的錢包地址是否曾經使用過「弱种子生成」創建。這意味著，其他品牌的硬體錢包或軟體錢包如果同樣使用了有問題的隨機數生成器，也可能暴露在風險中。

如果你不是 Coldcard 用戶，也別掉以輕心。建議檢查你的錢包品牌是否有發布類似安全公告，並且確認你的种子密鑰是透過可信賴的方式生成的。

FAQ 常見問題

Q1: 我已經更新了固件，還需要更換种子吗？

是的，Coinkite 已明確說明，即使更新到最新固件，原本的种子密鑰仍然存在被暴力破解的風險。升級固件只保護新創建的錢包，舊的必須重新生成。

Q2: 這次攻擊事件的損失有多大？

根據 Galaxy Research 2026 年 8 月 14 日的報告，確認損失為 1,778 BTC，約當時價值 1.12 億美元，是 2026 年第三大加密貨幣攻擊事件。

Q3: Unlukey 工具要怎麼使用？

Unlukey 是 Coinspect 提供的免費線上工具，你可以輸入錢包地址，它會檢查該地址是否在已知「弱种子」生成的資料庫中。建議所有 Coldcard 用戶都去檢查一下。

Q4: 除了 Coldcard，其他硬體錢包安全嗎？

每個品牌都有不同的安全模型。這次事件提醒我們，硬體錢包並非100%無敵，定期關注品牌的安全公告、及時更新固件，是保護資產的基本動作。

加密貨幣的安全從來不是「一次設定好就沒事」——它是需要持續關注的過程。這次 Coldcard 事件雖然損失慘重，但也讓整個產業更重視随机数生成（RNG）的技術細節。如果你身邊有朋友也在用 Coldcard，趕快把這篇文章分享給他們，幫助他們保護資產！

如果想了解更多硬體錢包的安全性比較，或是想學習如何更安全地備份种子密鑰，歡迎持續關注我們的更新。我們下篇文章見。