Coldcard冷钱包的审计分析

希望各位不管是老粉丝还是新关注的朋友们，都要明白一件事情：任何人包括我，本质上来说，不管说什么，一旦涉及到跟你利益有关，你都要万分小心。

哪怕我表达的内容，你也认可，但如果不能被验证，甚至无法被验证，你就不能100%全部相信。这不是我的免责声明，而是作为合格投资人的最基本认知。

或者换个更简单粗暴的现象来说，不管你是听谁的投资操作建议，亏了还是赚钱了，都应该是你自己对自己100%负责，而不是亏了骂娘，赚了偷笑。

比特币投资的风险本质

投资比特币，对大多数人而言，反而是风险最大的投资选择。

很多人觉得，比特币简单，不就是买入，然后长期持有吗？从表面来看确实如此，但真正深入之后你会发现，比特币可能是普通投资者面对过的门槛最高的资产之一。

传统投资，比如股票、基金、房地产，虽然同样存在风险，但大多数情况下，投资者面对的是相对成熟的金融体系，有公开的信息披露，有监管框架，有大量成熟的研究工具。

你可以通过财报了解一家公司的经营情况，通过宏观数据判断经济周期，通过专业机构的分析辅助决策。

但比特币完全不同。

你不仅要理解市场周期，还要理解密码学、私钥管理、钱包安全、交易所风险、链上数据、宏观流动性，甚至还要理解货币历史和金融体系的演变。

你买入比特币以后，真正考验你的，不只是价格涨跌：

• 价格上涨的时候，你要面对贪婪
• 价格下跌的时候，你要面对恐惧
• 市场出现黑天鹅事件的时候，你还要判断这到底是短期噪音，还是长期逻辑发生变化

更重要的是，比特币不像传统资产一样，有人帮你兜底。

你的助记词丢失了，没有银行帮你找回；你的安全意识不足，被钓鱼攻击，没有客服帮你冻结资产；你选择了错误的平台，也没有任何机构保证你的资金安全。

Coldcard漏洞事件

这也是为什么我们要深刻理解到，比特币最大的风险，很多时候不是来自比特币本身，而是来自投资者对它的不理解。

尤其是最近出现的某硬件钱包出现漏洞，因为这个钱包公司并没有公开自己的销售数据，很难准确判断这件事情的影响范围到底有多大。

希望各位粉丝没有使用这个有问题的硬件钱包，而且根据我说的，去验证，而不是相信。

我就试着用AI模型，针对这个钱包的固件版本进行了一次分析，看完分析报告，一身冷汗。

或许这也正是我不断跟大家说的，要验证，不要相信！

以下节选部分内容：

场景：定向攻击者恢复助记词

前提条件：

1. 攻击者知道目标用户使用 Coldcard Mk2/Mk3 且固件版本 ≥ v4.0.1
2. 攻击者能获知目标设备的芯片唯一 ID（物理接触、供应链攻击、或侧信道）
3. 攻击者能大致推断设备启动时间（社交工程、已知购买时间、日志等）

攻击步骤：

1. 获取目标 Coldcard 的 STM32L475 芯片唯一 ID（96 位）
2. 推断用户首次创建钱包的大致时间窗口（RTC->TR 和 RTC->SSR）
3. 枚举可能的 SysTick->VAL 值（启动到 RNG 调用的时间窗口相对固定）
4. 用这些种子初始化 Yasmarang，生成候选随机字节
5. SHA-256 哈希后转换为 BIP39 助记词
6. 验证校验和，检查地址是否匹配目标

截至我写这篇文章的时候，被盗的比特币已经从500多枚，上升到了1300多枚。

8月3日，Coldcard盗币事件，累计被盗比特币 1367 枚，价值约 8860 万美元，波及 4585 个钱包地址，攻击仍未停止。

AI审计的力量

这还是我用免费的AI模型审计出来的，那些个人黑客，机构黑客，甚至是某国的黑客集团，拥有更强大的AI算力，以及更强悍的AI模型，这时候还在疯狂的碰撞，所以这场"盗窃"行动，还会持续一段时间。

基于这样的一种风险，我临时起意，建了一个onekey钱包的交流群（有效期一个月），或者你可以把这个当做比特币自托管交流群，不局限于onekey钱包，只要你是在自己掌管助记词/私钥，那么就可以进群。

一方面对安全保持关注，另一方面，我在群里会分享一些我对一些钱包的审计报告，安全漏洞提醒。

当然，这个前提，依然是你自己对自己负责，出了问题自己承担。

愿你穿越牛熊周期，归来仍是囤币少年。

以上是个人思考，不作为投资依据。