从 Coldcard 7000 万美元隔空劫案，看机构级资产如何用 HSM 筑牢安全

BIT

特邀专栏作者

2026-08-08 06:48

本文约3073字，阅读全文需要约5分钟

数字资产安全的底层防线，从来不取决于设备是否连接网络，而取决于私钥在生成时的物理随机性是否足够坚固，以及密钥在存储与审批时是否具备金融级的硬件隔离。

AI总结

展开

核心观点：2026年7月底，比特币硬件钱包Coldcard因2021年固件更新中的构建配置疏忽，导致随机数发生器降级为软件伪随机算法，私钥熵值从2^256塌缩至约2^32，遭黑客在41分钟内离线穷举破解，从1196个钱包中盗走超1080枚比特币，损失高达7000万至8860万美元。
关键要素：
1. Coldcard缺陷固件在生成根随机数时意外跳过硬件真随机数发生器（TRNG），回退至依赖设备序列号与时间寄存器的软件伪随机数生成器（PRNG），导致熵值塌缩至约40亿种可能。
2. 黑客无需物理接触设备，通过离线穷举40亿种助记词组合，派生公钥地址并比对链上账本，匹配成功后在链上广播交易，实现批量转移离线钱包资产。
3. 事件复盘引用历史案例：Profanity靓号漏洞损失1.6亿美元，Lubian矿池因弱随机数被破解导致12.7万枚BTC被盗，强调算法熵值匮乏是加密世界最隐蔽且致命的威胁。
4. 文章对比消费级冷钱包与机构级HSM的安全差异：消费级助记词可导出备份，面临物理接触泄露风险；机构级Thales HSM私钥强标记不可导出，芯片内封闭签名，支持物理防篡改与自毁机制。
5. Cactus Custody采用多重签名架构和独立TRNG生成私钥（符合FIPS 140-2/3与NIST SP 800-90标准），不采用主种子派生架构，消除单点故障与批量性风险。
6. 结语指出数字资产托管需纵深防御、多重签名与风险分散，强调随着攻击手段向离线算力爆破演进，消费级冷钱包已难以应对大额资产管理挑战。

2026 年 7 月底，加密行业爆发了一起颠覆大众安全认知的黑客事件：主打“物理隔离、私钥不出设备”的知名比特币硬件钱包 Coldcard 遭黑客批量扫荡。

在短短 41 分钟内，攻击者从 1196 个 Coldcard 钱包地址中直接划走了超 1080 枚比特币，损失高达 7000 万至 8860 万美元。令人震撼的是，攻击者自始至终没有物理接触过任何一台设备，被盗的许多钱包甚至已离线保存在保险柜中长达数年。

离线不等于绝对安全。

这一惨痛的案例再次证明：数字资产安全的底层防线，从来不取决于设备是否连接网络，而取决于私钥在生成时的物理随机性（熵）是否足够坚固，以及密钥在存储与审批时是否具备金融级的硬件隔离。

一、事件复盘：固件配置疏忽引发的“41 分钟离线爆破”

很多投资者盲目相信“只要私钥存在离线硬件设备里，资产就万无一失”。然而，Coldcard 劫案的根源在于——私钥在生成的诞生之初，就已经被决定了命运。

根据 Block 工程团队及链上安全机构的深入复盘，该漏洞源于 2021 年 3 月 Coldcard 固件更新中的一个构建配置逻辑疏忽 [1]：

随机数发生器（RNG）降级：硬件钱包生成私钥的底层逻辑，是通过提取物理噪声生成高熵值的真随机数（TRNG）。但 Coldcard 缺陷固件在生成根随机数（Seed）时，意外跳过了硬件随机数发生器，回退（Fallback）到了依靠固件代码计算的软件伪随机数生成器（PRNG）。
熵值塌缩（Entropy Collapse）：伪随机算法仅依赖设备的固定序列号与初始化时间寄存器，导致原本应当具备 2^{256}（宇宙沙粒级、天文数字不可穷举）的私钥生成空间，直接塌缩到了仅剩约 2^{32}（约 40 亿种可能）。
离线穷举与全网扫算：对黑客而言，求解空间从“海中捞针”变成了“几十亿次简单枚举”。攻击者只需在自己的算力设备上快速离线跑完这 40 亿种助记词组合，派生出对应的公钥地址并比对区块链账本，一旦匹配成功即可直接在链上广播交易，将离线钱包中的资产一次性转走。

正如 Profanity 靓号漏洞损失 1.6 亿美元 [2]，以及 Lubian 矿池因弱随机数被破解导致 12.7 万枚 BTC（约 150 亿美元）被盗的历史事件 [3] 一样——算法熵值的匮乏，是加密世界最隐蔽也最致命的剧毒。

二、私钥的生命起点：从真随机数到源头安全

在密码学中，随机数是所有安全规则的基石。区块链的私钥由助记词派生，而助记词则完全取决于最初生成的随机数熵值。

普通的软件伪随机算法（PRNG）是基于确定性数学公式计算得出的，只要知道了初始种子或变量，后续产生的“随机序列”就可以被完全预测。相比之下，真正的安全性必须依赖真随机数生成器（TRNG），通过捕获物理世界中不可预测的量子微观噪声、电路热噪声或原子衰变等物理现象来提取纯粹的“物理熵”。

HSM 的私钥生成范式

为了从物理源头杜绝任何逻辑计算缺陷导致的熵塌缩风险，Cactus Custody 拒绝使用任何软件伪随机模型。

在 Cactus Custody 的架构中，私钥与种子均在经过最高安全级别认证的硬件安全模块（HSM）内部直接生成。HSM 内置工业级物理熵源发生器（TRNG），通过物理层面的热噪声产生无规律、不可预测的真随机数，确保私钥的生成空间具备完整的密码学强度，从数学本质上封死任何离线爆破或逆向推导的可能性。

三、密钥保管范式：消费级冷钱包 vs. 机构级 HSM 硬件底座

除了生成环节的熵值问题，消费级硬件钱包与机构级托管在存储机制上也存在着本质的代际鸿沟。

消费级硬件钱包的天然局限

普通消费级硬件钱包（如 Ledger, Trezor 或 Coldcard）的主要功能是防止私钥在联网电脑上被木马病毒直接窃取。然而，为了方便普通用户备份与迁移，这些设备中的私钥和 12/24 个助记词本质上是可以被导出或备份在纸质介质上的。一旦助记词被抄写泄露、拍照或被物理接触，黑客即可在任意设备上复刻该私钥。

金融级 HSM 物理防护

作为专业的机构级数字资产托管服务商，Cactus Custody 采用了全球顶级金融机构与中央银行通用的 Thales 硬件安全模块（HSM） 作为底层防线。

【消费级冷钱包】

私钥生成 ──► 存在消费级芯片 ──► 助记词可导出/备份 ──► 面临物理接触泄露/穷举风险

【Cactus Custody 机构级 HSM 架构】

TRNG 物理真随机生成 ──► 锁定在 Thales HSM 内部 ──► 强标记为“不可导出” ──► 物理物理拆解自毁

不可导出：在 Cactus Custody 的 Thales HSM 中，私钥在芯片内部生成后，被强行标记为不可导出。私钥从诞生到使用，物理上永远无法离开 HSM 的安全边界。
芯片内封闭签名：所有的交易签名均在 HSM 的内部安全区内完成，向外广播的仅有合法的签名结果，攻击者无论通过远程网络还是固件提取，都无法触及私钥本身。
物理防篡改与自毁机制： Thales HSM 具备军工级的物理防护壳体系。任何试图通过物理拆解、微探针扫描或环境异常攻击 HSM 的行为，都会瞬间触发物理保护电路，自动清空并物理自毁芯片内部存储的所有密钥，杜绝任何物理层面的密钥盗取。
多重签名架构：采用多重签名治理架构，单一私钥无法单独调拨冷存储资金，摒弃单点决策，大幅降低单点故障与内部作恶风险。
私钥随机生成：每个地址的私钥均由 HSM 芯片内置的硬件真随机数发生器（TRNG）独立生成，符合 FIPS 140-2/3 与 NIST SP 800-90 标准，不采用主种子派生（如 BIP32/44 HD Wallet）架构。密钥之间彼此无数学关联，杜绝"一点被破、全盘失守"的批量性风险，从根源上消除单点故障。