硬件钱包制造商Ledger近日就Coldcard漏洞事件发表声明，称该事件应成为整个加密货币行业的警示。Ledger首席技术官Charles Guillemet指出，漏洞暴露了部分设备（尤其是硬件加密货币钱包）在生成加密随机数时的弱点，同时展示了人工智能如何重塑网络攻击与防御。
“我们将此视为一个严肃提醒：硬件钱包的整个安全模型依赖于随机数，”Guillemet对Decrypt表示，“密码学本身很难，而要安全地实现它则更难。本周的Coldcard事件以最昂贵的方式让这一点变得清晰可见。”
此次漏洞的后续影响仍在扩大。上周，Coldcard制造商Coinkite披露了其气隙式Coldcard比特币硬件钱包中的一个缺陷，该缺陷可追溯到2021年3月的一个固件版本。漏洞导致设备在生成钱包恢复种子时使用了软件回退方案，而非硬件随机数发生器，使得部分私钥可被猜测，攻击者得以窃取用户比特币。截至目前，损失已接近1.3亿美元，另有其他盗窃案仍在调查中。周日，Coinkite发布了修复固件，并敦促受影响用户将资金转移至新生成的钱包。Coinkite未回应Decrypt的置评请求。
Ledger表示，其自身硬件钱包未受影响，因为恢复短语的生成方式不同。“Ledger硬件钱包的根密钥（24词秘密恢复短语）直接来自内置于经过认证的安全元件中的真硬件随机数发生器，不存在软件回退路径，”Guillemet说，“该发生器为每个种子生成完整的256位熵。”
对Ledger而言，该事件引发了关于硬件钱包安全性评估的更广泛问题。“开源和经过审查不是一回事，”Guillemet强调，“这个漏洞在公开代码中潜伏了五年多，直到据称有攻击者使用AI发现了它——这提醒我们，开放和审查是两码事。”
他说，AI正在改变网络安全，使攻击者能够“以机器速度”扫描代码、搜索配置错误并识别漏洞。“这意味着防御也必须以同样的速度前进，”他说，“它必须来自安全设计、硬件和数学。”
今年5月，一名安全研究人员使用Claude Opus 4.8发现了一个存在四年的漏洞，该漏洞可能引发Zcash无限铸造，导致投资者恐慌，Zcash单日暴跌超过40%。Guillemet表示，Ledger在过去两年中一直使用AI与人类安全工程师及密码学家共同审查代码，在攻击者利用漏洞之前将其识别出来。“我们也不仅仅依赖自己的说法，”他解释道，“我们的Donjon研究实验室存在的目的，就是在别人攻破我们产品之前，先尝试攻破它们。”
为降低未来风险，Guillemet建议用户评估任何硬件钱包时，应了解其随机数生成方式以及该过程是否经过独立认证。“随机数必须来自物理现象，而非公式，”他说，“它必须由那些以攻破该声称作为工作的人来认证，而不是由供应商自行宣称。”