硬件钱包

ChainCatcher 消息，瑞士比特币硬件钱包制造商 BitBox 宣布，任何 BitBox 硬件钱包用户都可在移动端 BitBoxApp 内创建闪电网络热钱包，直接从链上余额充值并支付发票，无需在多个应用、钱包或第三方服务之间切换。该闪电钱包由用户已有的 BitBox 备份派生，无需记录新的助记词，两个钱包保持独立。闪电网络侧作为热钱包运行，面向小额与日常支付场景，如咖啡、发票与快速转账，长期储蓄仍由硬件设备保管。在 BitBoxApp 内，用户可扫描并支付闪电发票、收发比特币、领取专属闪电地址、从链上钱包充值，并可再次将资金转回。该功能基于 Breez SDK 构建，BitBox 由此成为 Breez 超过 100 家集成合作伙伴之一。底层由 Spark 提供支持，用户无需运行节点、开设通道或管理流动性，资金始终由用户自行保管。Breez 于 8 月推出开发者应用 Glow，帮助开发者了解闪电钱包的运行情况并构建自有产品。

ChainCatcher 消息，比特币硬件钱包制造商 Trezor 警告称，其用于发送新闻通讯的第三方营销平台 Brevo 发生数据泄露，攻击者利用该平台向 34.7 万 Trezor 客户发送了钓鱼邮件。攻击者借助 Trezor 的域名发送邮件，使钓鱼尝试更具迷惑性，邮件内含恶意链接，诱导用户下载应用并输入钱包备份。Trezor 表示，已在 20 分钟内于 DNS 层面关闭该域名，阻止链接继续生效，但此前已有约 2500 人点击。Trezor 已暂停 Brevo 账户以阻止邮件继续发送，并强调除该营销平台外，其他 Trezor 系统未受影响，同时提醒用户 Trezor 从不要求客户提供钱包备份。此次事件之前，Trezor 上月披露其第三方履约合作伙伴 ShipMonk 遭攻击，导致 11742 名客户数据泄露；上周又表示另有 6.7 万名美国客户的姓名、邮箱、电话、收货地址及订单号在泄露中曝光。今年以来，加密货币钱包 Ledger 的支付处理商 Global-e 及钱包提供商 SafePal 也相继发生数据泄露，SafePal 约 3.98 万客户的订单信息遭未授权访问。

ChainCatcher 消息，以太坊基金会在 X 平台发文称，Trezor 硬件钱包现已通过 ERC-7730 标准支持“清晰签名”（Clear Signing）功能，使交易在硬件设备上更可读、更易理解。该进展是该基金会“万亿美元安全倡议”下清晰签名工作组推动的成果，旨在减少用户因“盲签”不明交易而遭受资产损失的风险，并鼓励更多钱包和去中心化应用参与其中。

ChainCatcher 消息，硬件钱包制造商 Ledger 与 Trezor 呼吁安全研究人员采取更负责任的漏洞披露方式。Ledger 首席技术官 Charles Guillemet 在 X 平台发文称，人工智能使漏洞更容易被发现和利用，但部分研究人员在修复方案发布前就公开细节，他将这种做法称为“利用他人风险博取关注”。Guillemet 敦促研究人员先私下报告漏洞，并就修复时间表达成一致后再公开细节，他以 90 天作为常见默认期限，同时表示可根据漏洞严重程度和修复所需工作量灵活调整。Trezor 安全主管 Jan Komárek 对 Cointelegraph 表示，90 天是对厂商的承诺，而不仅仅是研究人员的义务。他建议研究人员先联系厂商、商定时间表，若厂商未能在该期限内完成修复，则可选择公开披露。此番表态的背景是硬件钱包安全性近期受到密切关注：Coldcard 被盗事件涉及金额超过 1 亿美元，Trezor 的物流供应商数据泄露也影响了数万名客户的个人信息。

ChainCatcher 消息，硬件钱包厂商 Trezor 更新其物流合作商 ShipMonk 数据泄露事件进展，称此前披露的泄露规模被低估，另有约 6.7 万名 2019 年 11 月至 2021 年 8 月期间下单的美国用户信息遭完整泄露，涉及姓名、邮箱、电话、收货地址及订单号。Trezor 表示，此前曾与 ShipMonk 多次确认相关数据已按合同和数据政策删除并收到书面保证，但对方系统中实际并未删除。Trezor 称其自身系统未受影响，硬件钱包仍然安全，但受影响用户可能面临更多针对性钓鱼攻击风险，所有受影响用户均已通过邮件单独通知。此次事件最早于 8 月 13 日披露，当时影响约 1.37 万名用户。Trezor 表示正加快推出匿名收货服务，以降低用户下单时的信息暴露风险。

ChainCatcher 消息，开源钱包提供商 OneKey 的安全团队在实验室环境中成功复现了针对旧版 Ledger 以太坊应用的漏洞利用。OneKey 创始人兼 CEO 王一石表示，他们通过利用一个此前已修复的漏洞，对 Ledger 以太坊应用 1.22.1 版本执行了“交易替换攻击”，攻击者可在用户审核合法交易时覆盖等待签名的交易。Ledger 回应称，利用该漏洞需要控制设备与主机之间的通信，例如通过恶意软件、被入侵的钱包软件或恶意网页实现。Ledger 已于 8 月 13 日发布的以太坊应用 1.22.2 中增加应用层防护，并于 8 月 21 日在 Secure SDK 26.6.1 中修复底层问题。Ledger 强调，没有用户因此遭到黑客攻击，此次仅为实验室环境下的漏洞复现。此次安全测试发生在 Coldcard 漏洞事件之后。此前 Coldcard 钱包因固件漏洞导致部分助记词生成存在安全隐患，但 Ledger 表示其设备未受该漏洞影响，因为恢复短语由设备安全芯片内置的认证随机源生成。OneKey 复现的漏洞与助记词生成无关，而是影响签名过程中交易的处理方式。

ChainCatcher 消息，据 Bitcoin News 报道，Sparrow Wallet v2.5.4 经过广泛的 AI 辅助审查后发布，包含多项安全强化更新，旨在减少用户对 Electrum 等外部服务器的信任依赖。 此外，该版本还强化 Ledger、Keycard、Trezor、Payjoin、PSBT 及多重签名处理，删除调试日志中的 Bitcoin Core 凭证及其他机密信息，将现有钱包和备份目录权限限制为仅所有者可访问，关闭使用 Tor 时残留的本地 DNS 解析泄露，并加强钱包导入、签名、下载及服务器响应验证。该更新扩大了 Sparrow Wallet 对交易数据、硬件设备及其他输入进行独立验证的范围，减少对外部服务器提供数据的依赖。

ChainCatcher 消息，Coinkite 旗下硬件钱包 Coldcard 被曝存在严重熵漏洞，该漏洞自 2021 年起未被发现，导致超过 1 亿美元比特币被盗，受害者多为使用单一助记词钱包的用户。弱熵使得攻击者能够通过定制化手段猜测私钥，这一事件促使比特币社区重新审视单签自托管的可靠性。在此背景下，多厂商多签（Multi-vendor Multisig）方案正成为长期持有者推荐的新托管基线。该方案要求用户使用来自不同钱包厂商的密钥构建多签地址，例如 Trezor Safe 7、Ledger Nano 与 Casa 恢复密钥组成 2-of-3 多签，从而降低对单一硬件厂商的信任依赖。多签还能抵御扳手攻击，并催生了 AnchorWatch 等以 BTC 计价的比特币保险服务。不过多签也存在缺点，用户除需保管阈值密钥外，还需保存多签脚本或模板副本，以便在钱包服务离线时独立恢复资金。

ChainCatcher 消息，Coldcard 硬件钱包固件漏洞遭利用后，约 2,100 枚比特币被盗，损失接近 1.3 亿美元。链上数据显示，事件前后数日长期持有者钱包转出约 23.3 万枚比特币，价值约 150 亿美元。Casa 首席执行官 Nick Neuman 表示，部分转出资金来自 Coldcard 用户迁移至多签钱包，也有 Ledger 和 Trezor 用户在事件后采取相同措施。同期约 2.2 万枚比特币转入交易所。Coinkite 已要求使用 4.1 至 4.1.9 版本固件生成助记词的用户，将相关钱包视为已被攻破，并立即迁移至新助记词。上述版本覆盖 2021 年 3 月至 2026 年 7 月。

ChainCatcher 消息，据 Decrypt 报道，Ledger 首席技术官 Charles Guillemet 表示，Coldcard 漏洞事件暴露了硬件钱包随机数生成的弱点，并强调 AI 正重塑网络安全攻防格局。Guillemet 指出，硬件钱包的安全模型“生死取决于随机数”，此次事件以最昂贵的方式证明了这一点。Ledger 表示其硬件钱包未受影响，因其助记词由通过认证的安全元件内的硬件随机数生成器生成，无软件回退路径，每次生成完整的 256 位随机数。Guillemet 认为，开源代码若未经充分审查并不等同于安全，AI 正使攻击者能以机器速度扫描代码和识别漏洞，防御也必须以同样速度推进，这需要依赖安全设计、硬件和数学。Guillemet 建议用户在选择硬件钱包时应了解其随机数生成方式及是否经过独立认证。

ChainCatcher 消息，Coldcard 硬件钱包攻击已扩大至约 1.16 亿美元，攻击者从 5200 多个地址转走 1816 枚 BTC。Galaxy Research 确认，出现第四波转账，修正后该波单独转走约 449 枚 BTC。Galaxy Research 负责人 Alex Thorn 表示，最新活动可能是“第四轮有组织盗窃”，转账速率达到每个区块 13.8 笔，为事发前基准水平约 45 倍。其分析认为，相关模式显示多个团体可能并行扫描受影响密钥空间。事件根源被追溯至 2021 年 Coldcard 部分设备固件更新，该更新将钱包种子生成流程从硬件随机源改为可预测的软件模式。加拿大制造商 Coinkite 建议，曾在 Coldcard 设备上生成钱包种子的用户尽快将资金转至新安全钱包。

ChainCatcher 消息，币安联合创始人 CZ 在 X 平台转发用户 Rager 关于硬件钱包故障的经历。CZ 表示，保护钱包备份助记词（seed phrase）是一项极具挑战的任务。 助记词不能被他人看到，否则可能被复制或利用，也不能因火灾、洪水等意外损毁，同时还需要防止黑客获取访问权限。更重要的是，用户自己也不能遗失助记词。

ChainCatcher 消息，Strive 副总裁 Joe Burnett 在 X 平台发文表示，近期可能是比特币历史上最糟糕的几周之一。许多人购买了受认可的硬件钱包、离线生成助记词并遵循既定最佳实践，但仍因影响 COLDCARDwallet 自 2021 年 3 月及之后生成助记词的漏洞而损失大量比特币。该漏洞超过 5 年未被发现。 Joe Burnett 表示，这将永久改变人们对自托管的信心。自托管仍会存在，但已经永久改变。对于希望直接掌控大量比特币的人，标准应是多供应商多签，密钥应使用不同硬件和不同软件独立生成，并存放在不同物理位置。如果无法接受这种方式，则应使用机构级托管方。 Joe Burnett 称，当前比特币采用浪潮正通过 ETF、财库公司和机构托管方发生，主要来自无意成为私钥生成、硬件安全、固件、备份、继承规划和物理存储专家的人群。由单个硬件钱包生成的一把密钥保护大量比特币，存在过高集中风险。 Joe Burnett 还表示，机构托管可能最终使过多比特币集中于大型公司手中，从而产生审查、扣押和没收风险。但比特币的可携带性和结算属性提供了关键制衡，用户可以创建钱包并要求托管方发送比特币，在数分钟内从交易对手风险转为直接所有权。 Joe Burnett 认为，只要比特币本身仍然安全，某一种托管方式的失败并不会否定底层货币系统，而是迫使市场开发更好的工具、更强标准和更具韧性的托管架构。本周最终可能标志着比特币托管一个时代的结束，以及下一轮比特币采用浪潮的开始。

ChainCatcher 消息，赵长鹏在 X 平台发文表示，针对 Coldcard 钱包疑似漏洞导致超 3800 万美元比特币被盗事件，即使是硬件钱包也可能存在漏洞。 即使是历史悠久的钱包也可能存在漏洞。为了降低 风险，可以考虑把资金分散到几个钱包之中，但这又会带来另一套风险。没有什么是 100%安全的。

ChainCatcher 消息，慢雾余弦在 X 平台发文表示，COLDCARD 硬件钱包弱随机数安全事件中，如果助记词使用了 Passphrase，可以避开此次攻击。Passphrase 不是钱包解锁 PIN 码，而是专门为助记词设置的密码，主流硬件钱包均支持该机制。

ChainCatcher 消息，加拿大硬件钱包厂商 Coinkite 发布安全警告，建议使用 Coldcard Mk3 且在固件 4.1 至 5.3 版本生成助记词的用户尽快迁移资产。公司表示，初步分析显示，使用 BIP-39 密码短语（Passphrase）的钱包风险较低，Mk4、Q 及 Mk5 设备不受影响，目前调查仍在进行中。 与此同时，安全研究人员正调查一起涉及 594.48 枚 BTC（约 3830 万美元）的异常转移事件。AnchorWatch CEO Rob Hamilton 表示，攻击者在 3 个区块内通过 500 笔交易转移了 1324 个 UTXO，并推测问题可能源于钱包生成过程中随机数熵不足。Wizardsardine CEO Kevin Loaec 则认为，漏洞可能与某一软件库、安全芯片或特定设备批次、固件版本的低熵随机数生成器有关，攻击者或利用 AI 生成脚本暴力破解受影响钱包。目前尚无确凿证据证明此次资金转移与 Coldcard Mk3 漏洞存在直接关联。

ChainCatcher 消息，据 The Block 报道，Trezor 首席商务官 Danny Sanders 反驳了区块链调查员 ZachXBT 近期对加密硬件钱包的批评。 ZachXBT 本周早些时候在 Telegram 上发帖称：“所有硬件钱包都是彻头彻尾的垃圾，不建议用它们来执行诸如签署交易或存储资金等重要任务”，并建议用户使用专门的 iPhone 来存储资金和签署交易。 对此，Sanders 在一档采访节目中，承认硬件钱包的固件/软件更新有时会干扰紧急或大额交易，用户体验确实“笨拙”，并理解用户的挫败感。但反对 ZachXBT 的一概而论：硬件钱包对管理巨额资金的高阶用户可能不是最佳单一方案，但并非垃圾。 其指出，与硬件钱包相比，iPhone 的操作系统和连接功能会带来更多的“攻击风险”。对于普通加密用户，硬件钱包仍是目前最好的自我托管方式。

ChainCatcher 消息，Ledger 研究人员发现，通过激光攻击可重置所有 Tangem 硬件钱包卡片上的密码。该攻击需要物理接触设备，并需约 25 万美元的实验室设备，且已流通的卡片无法通过补丁修复。

ChainCatcher 消息，美国佛罗里达州一名男子因涉嫌利用前雇主硬件钱包的助记词，盗取价值约 190 万美元的比特币而被捕。警方称，被盗资金的未经授权转账发生于 2020 年，当时嫌疑人仍可接触关键安全信息。

ChainCatcher 消息，据 The Block 报道，比特币硬件钱包厂商 Foundation 完成 640 万美元新一轮融资，由 Fulgur Ventures 领投，Arche Capital 等参投，用于从比特币自托管钱包扩展至身份、多因子认证及 AI agent 授权等场景。本轮融资使公司累计融资达 1,650 万美元，估值及轮次结构未披露。 Foundation 同时宣布旗舰设备 Passport Prime 面向所有用户开放销售，集成比特币硬件钱包、FIDO 安全密钥、2FA 存储、机密信息保险库及 50 GB 加密存储，并强调通过专用硬件实现“人工授权”。此外，公司扩大 KeyOS 开发者平台开放范围，计划在二季度末上线 KeyOS 应用商店，首批合作方包括 Cake Wallet。