硬體冷錢包 = 絕對安全？這個禮拜，這個信仰被狠狠打臉了。
Galaxy Research 發現，Coldcard 某特定版本生成的種子碼（seed phrase）有致命漏洞——攻擊者不需要碰到你的設備，就能在離線狀態下算出一樣的金鑰。
截至 8 月 2 日，超過 4,500 個地址遭殃，損失逼近 8,900 萬美元。這個數字還在持續上升——因為攻擊者還在掃。
連幣安創辦人 CZ 都在 X 上發文：「硬體錢包一樣可能有 bug，把資產分散到多個錢包。」
到底出了什麼事？
簡單說：Coldcard 在生成種子碼時，隨機數不夠隨機。
一般硬體錢包的種子碼是 128 或 256 位元的隨機數——2²⁵⁶ 種可能，理論上暴力破解要算到宇宙毀滅都算不完。
但 Coldcard 這次出包的版本（Mk4 特定韌體版本），隨機數的「範圍」被限縮了。Galaxy Research 研究員在逆向工程後發現，實際可生成的種子碼組合遠低於理論值——大概只有幾百萬種可能，而不是天文數字。
攻擊者只要用同一台 Coldcard 設備的韌體逆向工程，就能重現所有可能的種子碼組合——然後一筆一筆掃區塊鏈，看到有餘額就轉走。
完全不需要碰到你的設備。完全不需要知道你的 PIN 碼。
而且攻擊者很聰明，總共分成三波掃蕩：
- 第一波（主攻擊）：掃大額地址（>$100K），一次掃走大部分資金
- 第二波（收割）：擴大到中等金額（$10K-$100K）
- 第三波（清場）：連小額都不放過，幾百塊也轉
根據鏈上數據，攻擊者的主要錢包地址已經被標記，但資金正在經過混幣器（mixer）清洗——追回機率極低。
不是 Coldcard 的專利——硬體錢包的系統性風險
這次 Coldcard 出包，但不是只有 Coldcard 可能有問題。
回顧歷史：
| 年份 | 錢包 | 漏洞 | 影響 |
|---|---|---|---|
| 2023 | Ledger | 供應鏈攻擊，惡意程式碼注入 Ledger Connect Kit | 多個 DeFi 前端被挾持，損失 ~$600K |
| 2023 | Trezor | 物理側信道攻擊，可提取私鑰（需物理接觸） | 已修復，但證明硬體並非鐵壁 |
| 2024 | Ledger | Recover 服務爭議——私鑰可分片備份到雲端 | 用戶信任危機，雖然技術上安全 |
| 2026 | Coldcard | 隨機數生成漏洞，無需物理接觸即可算出私鑰 | 4,500+ 地址，$89M 損失 |
一句話：硬體不是電腦，韌體是人寫的。人會犯錯。
這對我們有什麼啟示？
不是叫你從此不用冷錢包。而是：
1. 不要 all-in 一個錢包——分散是唯一免費的保險
CZ 說得對。再安全的硬體，都可能出 bug。
把資產分散到 2-3 個不同品牌、不同型號的冷錢包——雞蛋不要放同一個籃子。
- 50% 在 Ledger
- 30% 在 Trezor
- 20% 在交易所（Binance 有 SAFU 基金 $1B 保護）
即使其中一個出包，你的大部分資產仍然安全。這是零成本的保險。
2. 冷錢包也要更新韌體——你的錢包不是買了就結束了
Coldcard 已經釋出修復版本（v1.3.1+）。如果你手上有舊版 Coldcard Mk4，立刻檢查你的韌體版本。
步驟：
- 連接 Coldcard 到電腦
- 進入 Settings → Firmware Version
- 如果版本低於 1.3.1 → 立刻更新
- 更新後，建立一個全新的錢包（舊錢包的種子碼可能已有風險）
- 將資產轉移到新錢包
💡 即便不是 Coldcard 用戶，也應該定期檢查所有錢包韌體。 Ledger、Trezor、Keystone 都曾發布安全更新。
3. 創建錢包後，做個「哨兵測試」
新錢包開好之後：
- 先轉 $5-$10 等值資產進去
- 確認可以轉出來（私鑰真的只有你能控）
- 把這筆小錢留在錢包裡——當作「哨兵」
哪天如果這 $5 自己不見了，你就知道私鑰已經外洩，不用等大筆資產被搬光才發現。
這招在幣圈老手裡很常見——成本 $5，保護的是你的全部資產。
4. 用多重簽名（Multisig）錢包——兩個鑰匙比一個安全
如果你持有超過 $50,000 的資產，考慮設一個 2-of-3 多簽錢包：
- 需要 2 把不同的鑰匙 才能轉帳
- 三把鑰匙分別放在三個不同地方（不同品牌硬體錢包）
- 攻擊者需要同時破解兩把鑰匙——難度指數級上升
一句話總結
冷錢包 = 離線 ≠ 無敵。
這次 Coldcard 翻車告訴我們：安全不是買一個硬體就結束了，是持續的習慣。
把錢分散、定期檢查、保持更新——這三件事比選哪個錢包更重要。
你的 8,900 萬美元，不會自己保護自己。
資料來源：Galaxy Research 2026 年 8 月安全報告、CZ 官方 X 帳號、鏈上數據分析
⚠️ 風險警告
本文僅為資訊分享，不構成資安或投資建議。加密貨幣市場及資安風險極高，請自行評估並諮詢專業人士。使用任何錢包前請詳閱官方文件及安全公告。
🚀 準備好開始了？
台灣新手友善入門 👋 用推薦碼 HERMESS 註冊 Binance，跨出你的第一步吧！
⚠️ 本內容僅供參考，不構成投資建議。加密貨幣投資有風險，價格可能劇烈波動。請自行研究（DYOR）。
💱 延伸閱讀：
- 為什麼要把資產放一部分在交易所？——Binance SAFU 基金是什麼？
- 2026 台灣虛擬資產法規完整解析——台灣虛擬資產服務法三讀通過