Coldcard漏洞詳解：從隨機數生成到資金失守

Coldcard是加拿大公司Coinkite開發的專用比特幣硬體錢包，以其安全隔離私鑰出名。但2021年3月韌體更新中，隨機數生成器因整合失誤，被替換成偽隨機軟體算法—PRNG，導致生成的私鑰種子變得可預測。駭客因此利用該設計缺陷，成功在數十分鐘內掃蕩了1196個地址，竊取超過1082枚比特幣。這次攻擊顯示即使硬體錢包，其核心安全元件如隨機數產生仍不可掉以輕心。

台灣中小企業的啟示：數位資產管理不可忽視韌體安全

越來越多台灣企業開始接受比特幣等加密貨幣作為支付與投資工具，中小企業因應法規與營運需求，也逐步導入硬體錢包進行資產冷存。但Coldcard案例提醒我們，即便是知名品牌硬體錢包，也可能因韌體錯誤帶來巨大損失。尤其中小企業多數缺乏專職資訊安全人員，對於硬體韌體更新與安全審查常常不夠熟悉，潛藏風險不可輕忽。定期檢視硬體錢包供應商的安全公告與更新是避免類似事件重要的第一步。

中小企業資安加強策略建議

• ▶選擇經過第三方安全審查且定期更新韌體的硬體錢包品牌，避免使用已知有安全疑慮的產品。
• ▶建立嚴謹的私鑰管理流程，避免單一硬體錢包存放全部資產，分散風險。
• ▶定期檢查韌體版本與供應商公告，並在必要時及時進行更新，強化已知漏洞的防護。
• ▶對於企業內部負責加密資產的專員，安排資安教育訓練，提升對資安威脅的意識與應對能力。