熵坍缩：你的私钥可能从出生那天起就不是随机的

这篇文章原本只对知乎专栏「加密参考」的会员开放，现在我把它永久公开。

因为这件事有时效性------受影响的地址正在被批量清扫，每晚一天知道，就多一天暴露。把它挡在付费墙后面，对谁都没有好处。

请读完，对照第 6 节确认自己在不在名单上，并转给任何可能受影响的人。

------------以下为正文------------

41 分钟，1,196 个地址被清空。受害者的共同特征是：2021 年之后就没动过币。 你为自托管做的一切------离线、分片备份、Passphrase、多签------保护的都是这把钥匙的一生；但没有人回去检查过它的出生。 而钥匙的出生现场，不留任何痕迹：熵坍缩在链上完全不可观测，它可以已经为真五年，而你今天查不出来。

1. 那 41 分钟

2026 年 7 月 30 日，比特币链上出现了一批很怪的交易。

怪不在金额，而在节奏和目标。41 分钟内，1,196 个地址被清空。这些地址彼此没有关联，分散在不同的年份、不同的国家、不同的使用习惯里。唯一的共同点是：它们的主人大多在 2021 年之后就没有动过这些币。冷储、长期持有、教科书式的纪律。

到 8 月 2 日，Galaxy Research 追踪到的数字是：约 1,367 枚比特币、约 8,860 万美元、超过 4,500 个地址。而事后建立的公共取证站点 coldcardentropy.org 在六个证据等级下一共登记了 6,657 个唯一来源地址------其中首波协同清扫是 500 笔交易、594.47722484 BTC，精确到小数点后八位。

7 月 30 日当天，Coinkite 承认了原因：他们的 Coldcard 硬件钱包，从 2021 年 3 月起，一直在用错误的方式生成私钥。

这句话需要停一下才能理解它的分量。不是钱包被黑了，不是助记词泄露了，不是有人拿到了设备。是这些钱包在出厂后正常工作的每一天里，生成的每一把钥匙，都比它应该的样子弱了十几个数量级。而且这件事在 2021 年 3 月就已经是真的了，从那天起到 2026 年 7 月 30 日，没有任何人、任何链上数据、任何设备提示能告诉你它是真的。

绝大多数人------包括很多把自托管当信仰的老玩家------理解的自托管风险是这样的：私钥在你手里，所以风险也在你手里；只要你不泄露助记词、不被钓鱼、不被换机、不被扳手威胁，币就是安全的。所有的防御工事都建在"保管"这个环节上。

我认为更准确的是：自托管最脆弱的地方不在保管，而在生成------在那把钥匙出生的那一瞬间。而与保管风险不同，生成风险是一种"有时间维度的信任假设"：它可以在过去某个时刻就已经为假，并且在此后的任何时刻，你都无法通过观测发现它。你的冷钱包越冷，暴露期越长。

2. 钥匙的出生证明

先把技术词全扔掉。

你的助记词本质上是一串随机数。"随机"这两个字承载了全部的安全性------因为比特币的私钥空间大到没有边际，安全不来自任何锁、任何密码，只来自一件事：没有人能猜到你的那一串。

那这串随机数从哪来？硬件钱包里有一个专门的芯片，靠物理噪声产生真随机数------热噪声、电路抖动这类物理世界本身的不确定性。它产生 128 位的随机性，意味着可能性有 2 的 128 次方种，比宇宙里的原子还多。这就是为什么你可以放心地把币放在一张写着 24 个单词的纸上。

而这次的事故是：因为一个编译开关写错了，那个物理噪声芯片根本没被调用。设备退回去用一个软件里的伪随机数生成器------一个靠公式算出来的、看起来很随机但其实完全可以重算的东西。结果是 Mk2/Mk3 型号只产生了大约 40 位的有效随机性。

40 位是多少？大约一万亿种可能。听起来很多，但对一台愿意跑几天的普通电脑来说，一万亿是一个下午的事。

打个比方

你买了一个高级保险箱，厂商承诺锁芯有一百二十八位的组合。你把它放在地下室，焊在墙上，钥匙分成三份埋在三个城市。五年过去，箱子从来没被撬过,焊缝完好,三份钥匙都在。然后有一天你打开地下室，箱子空了。

原因是：厂商的生产线上有个开关设错了，你那一批箱子的锁芯实际只有四十位组合。箱子没有被撬------它是被配钥匙打开的。而且从出厂第一天起，这件事就是真的。你这五年做的所有防护------焊接、分片、异地------保护的是箱子被撬的可能性，而这个箱子从来就不需要被撬。

更麻烦的一点是：这件事没有任何征兆。箱子不会响，锁不会松，你每年去检查也看不出任何异常。你唯一能知道的时刻，就是它被打开的那一刻。

这就是本期的核心：我们习惯于检查一把钥匙的一生，却从来没有回去检查过它的出生。而出生现场不留痕迹。

3. -- 价格

   --

   一个 #ifndef 引发的五年

3.1 装反了的保险丝

2021 年 3 月，Coldcard 做了一次底层迁移------把加密运算切换到比特币核心生态里久经考验的 libsecp256k1，配套引入了自己的 libNgU 库。这是一次质量提升，动机完全正当。

问题出在这次迁移带进来的一段防护代码上。在 random.c（libngu，第 22--31 行）里，开发者写了一道保险：如果编译时没有启用硬件随机数发生器，就直接报错、停止编译。这道保险用的是 C 语言的预处理指令：

#ifndef MICROPY_HW_ENABLE_RNG

#error "需要硬件随机数发生器"

#endif

#ifndef 的意思是"如果这个宏没有被定义"。写这道保险的人的想法是：只要有人忘了打开硬件随机数，编译就会失败，事故不可能发生。

而实际的固件配置里，这个宏被定义了，值是 0。

C 语言的 #ifndef 只问"定义过没有"，不问"值是几"。定义成 0 也是定义过。于是这道保险判定"已经定义了，一切正常"，#error 从未触发，编译顺利通过------而值为 0 的含义恰恰是"硬件随机数没启用"。

保险丝装反了。它检查的是"开关这个零件在不在"，而不是"开关有没有拨到 ON"。

于是编译器把 MicroPython 自带的软件回退 PRNG 编了进去。那段上游代码本身可以追溯到 2018 年 5 月，在 MicroPython 的语境里它是个合理的兜底；只是它从来没打算给比特币私钥用。

从这一刻起，每一台运行受影响固件的 Coldcard，在用户按下"生成新种子"时，跑的都是这个软件公式，而不是那颗物理噪声芯片。

3.2 四十位到底有多小

Coinkite 自己的技术复盘给出的数字是：

• Mk2/Mk3 → 有效搜索空间约 40 位（应为 128 位）
• Mk4/Mk5/Q → 有效搜索空间约 72 位（安全元件 SE1/SE2 混入了部分独立熵，起到了部分缓解）

受影响的固件版本是 Mk2/Mk3 的 4.0.1 至 4.1.9（修复版 4.2.0）、Mk4/Mk5 低于 5.6.0（Edge 线低于 6.6.0X）、Q 低于 1.5.0Q（Edge 线低于 6.6.0QX）。

这里有一处必须点破的数据分歧

Coinkite 官方口径说 Mk4/Mk5/Q 是 72 位，而 8 月 3 日 Blockhead 的报道援引的分析说，真正进入最终种子的只有约 32 位。

这两个数字的差距不是小分歧，是四十个数量级的差别。72 位在今天是安全的------全球算力加起来短期内也穷举不完；32 位则比 Mk3 的 40 位还要脆弱，是几分钟的事。一个数字决定的是"Mk4 用户可以从容迁移"还是"Mk4 用户此刻就在被扫"。

到目前为止，观测到的实际清扫集中在 Mk3 时代的单签地址上，这在方向上支持 Coinkite 的 72 位口径。但我要提醒的是：这不构成证明。攻击者当然会先扫成本最低的那一批。这件事本身就是本期命题的一个注脚------当一个假设不可观测时，"还没出事"从来不是"不会出事"的证据。

3.3 开源全程在场，全程没拦住

这是全文最值得付费读者停下来的地方。

Coldcard 是开源固件。它有公开的代码仓库，有社区审阅，有可复现构建（reproducible build）------按理说，这是安全审计能给出的最高配置了。它全程在场，全程没拦住。

原因有三层，一层比一层反直觉。

第一层：源码里那行代码看着是对的

审阅者读到 #ifndef MICROPY_HW_ENABLE_RNG + #error，得到的印象是"这里有防护"。缺陷不在这一行的逻辑，而在它与另一个文件里的构建配置之间的关系。代码审阅是逐文件、逐函数进行的；这个 bug 住在文件与文件的缝隙里。

第二层：可复现构建证明的是"一致"，不是"正确"

可复现构建的承诺是：任何人从同一份源码，都能编出字节完全相同的二进制，所以厂商没有偷偷塞私货。这条承诺在本次事故中完整地兑现了------每个人都能复现出同一个二进制，而那个二进制里装的是软件伪随机数。可复现构建保证的是"你拿到的就是源码编出来的"，它从不保证"源码编出来的是你以为的那个东西"。

第三层------这一层最要命：两个随机数实现的函数签名是一样的

Coinkite 在复盘里明确写了这一点：硬件 RNG 和软件回退 PRNG 对外长得完全一样。这意味着，即使有人真的去逆向二进制、去查调用路径，看到的也是同一个函数名、同一组参数。要发现问题，你必须去追符号最终解析到了哪个目标文件------这是一个几乎没有人会在常规审计里做的动作。

Coinkite 的修复方式恰恰印证了这一点：新版本显式排除了 MicroPython 的回退 PRNG 对象，并加入了构建期的 RNG 符号校验------如果板级目标文件没有提供 rng_get()，或者回退实现没有被彻底排除，编译直接失败。也就是说，修的不是那行代码，而是把"不可观测"变成了"编译期可观测"。

还有一个耐人寻味的细节：Coinkite 推测，这个潜伏五年的缺陷可能是被一个 AI 模型在审阅开源固件时发现的。Coinkite 创始人 NVK 的说法是："AI 辅助的代码审查现在能以超过业内最资深专家的速度，找出潜伏的 bug。"

这句话有两面。好的一面是：这类沉睡多年的假设缺陷，正在第一次变得可批量发掘。坏的一面是：攻击者拿到的是同一套工具，而且他们不需要先负责任地披露。所有开源的、长期未变的、涉及密码学原语的代码，都刚刚进入了一个新的风险时代。

4. 这出戏一共演过三遍

会员级的重量在这一节。熵坍缩不是加密行业的新发明，它是密码学工程里一类反复出现的经典事故，而且每一次的形状都惊人地相似。

4.1 一行被删掉的代码，静默二十个月

2006 年 9 月，一位 Debian 维护者在打包 OpenSSL 时，删掉了 md_rand.c 里的两行 MD_Update(&m,buf,j);。删除的动机完全善意：这两行会读取未初始化的内存，导致调试工具 Valgrind 和 Purify 不停报警。其中一行的旁边甚至就写着注释 /* purify complains */。

问题是，这两行在不同的上下文里做着不同的事。原作者只用 #ifndef PURIFY 保护了其中真正有问题的那一行；维护者把两行都删了。

结果：整个随机数种子池失效，唯一剩下的"随机"来源是进程 ID。而 Linux 默认的进程 ID 上限是 32,768。也就是说，全世界所有用 Debian 及其衍生版生成的 SSH 密钥、SSL 证书、加密密钥，可能性总数只有三万多种。

这个缺陷在 2008 年 5 月 13 日被 Luciano Bello 发现，静默了大约 20 个月。在那 20 个月里，没有任何一台服务器报过错，没有任何一次握手失败，没有任何征兆。所有生成出来的密钥，在数学上、在格式上、在使用上，都和真正安全的密钥一模一样。

4.2 三十二位的时钟，静默六年

这一次直接发生在比特币身上，而且是最接近本次事故的形状。

Libbitcoin Explorer（命令行工具 bx）的 3.0.0 到 3.6.0 版本，其 bx seed 命令用梅森旋转算法（Mersenne Twister）生成种子------而这个 PRNG 只用 32 位的系统时钟做播种。一次 256 位的种子请求，实际拿到的熵只有 32 位，约 43 亿种可能，消费级硬件几天就能穷举完。

时间线：2016 年 10 月经 PR#559 引入，2017 年 3 月随 3.0.0 发布，2023 年 5 月才开始被利用，7 月 12 日发生一次大规模协同盗窃（约 29.65 BTC），7 月 21 日在应急响应中被发现，8 月 8 日公开披露，编号 CVE-2023-39910。

最终在比特币主网识别出 2,600 多个受影响钱包，跨 BTC、ETH、XRP、DOGE、SOL、LTC、BCH、ZEC 多条链被盗超过 90 万美元。

请注意两个数字：潜伏六年多；链上完全无可见性------在被盗之前，这些钱包看起来和任何一个正常钱包没有区别。

4.3 这一次，坏在了信任链的终点

三次事故的机制几乎同构：一个善意的工程改动 → 熵源被静默替换 → 长期潜伏 → 某天被批量收割。但这次有三处实质性差异，而且每一处都往更坏的方向走。

第一，位置变了

Debian 那次坏在操作系统的打包层，Milk Sad 那次坏在一个命令行工具------两者都还有"上游 / 下游"可言，用户至少理论上有别的选择。而 Coldcard 是专门为了消除信任而存在的设备。硬件钱包的整套价值主张就是"不要相信任何软件环境，相信这块专用硬件"。当信任链的终点本身出问题时，链上没有下一环可以退。

第二，暴露期与用户行为正相关，而且是反向的

这次的受害者画像是"2021 年后就没动过币的人"------也就是纪律最好、最符合最佳实践的那一批。你越是把币锁起来不动，你的暴露期就越长，你就越可能在名单上。Debian 的密钥可以轮换，SSL 证书本来就有有效期；比特币的种子不轮换，一次生成，终身使用。

第三，发现方式变了

Debian 那次靠一位研究者的偶然发现，Milk Sad 那次靠被盗后的应急响应回溯。这次可能是 AI 主动扫出来的。这意味着这类缺陷的发现速率正在结构性上升------好消息是存量地雷会被陆续排掉，坏消息是排雷的人和踩雷的人拿的是同一份地图。

5. 哪些数字能承重，哪些不能

按强度分四级，公司自述与第三方验证分开。

第一级 · 经济验证（已经发生的链上事实，最硬）

• 首波协同清扫 → 41 分钟内清空 1,196 个地址；500 笔交易、594.47722484 BTC｜来源：coldcardentropy.org 取证数据集，2026-07-30
• 截至 8 月 2 日累计 → 约 1,367 BTC、约 8,860 万美元、逾 4,500 个地址｜来源：Galaxy Research 追踪，经 Blockhead 报道，2026-08-03
• 取证数据集规模 → 六个证据等级下共 6,657 个唯一来源地址｜来源：coldcardentropy.org，2026-08
• 受害者画像 → 集中于 2021 年后未动过的冷储地址｜来源：多家报道交叉，2026-07-31

第二级 · 厂商自述（技术根因，权威但需交叉看）

• 根因 → random.c（libngu，22--31 行）用 #ifndef MICROPY_HW_ENABLE_RNG 守卫，固件把宏定义为 0，#error 未触发｜来源：Coinkite 技术复盘，2026-07/08
• 引入时点 → 2021 年 3 月 libNgU 迁移；上游 MicroPython 回退代码可溯至 2018 年 5 月｜来源：同上
• 熵值 → Mk2/Mk3 约 40 位；Mk4/Mk5/Q 约 72 位｜来源：同上
• 审计盲区 → 两个 RNG 实现函数签名相同，二进制审查无法区分｜来源：同上
• 修复方式 → 显式排除回退 PRNG 对象 + 构建期 RNG 符号校验，缺失即编译失败｜来源：同上

第三级 · 存在分歧的关键数据（必须自己判断）

• Mk4/Mk5/Q 的真实熵值 → Coinkite 称约 72 位，第三方分析称仅约 32 位进入最终种子｜来源：Coinkite 复盘 vs Blockhead，2026-08-03。差四十个数量级，直接决定这批用户的紧迫性；截至发稿未见双方公开对账。

第四级 · 观点与推测（最软，不承重）

• Coinkite 推测缺陷可能由 AI 模型审阅开源固件时发现；NVK 称 AI 辅助审查的速度已超过最资深的人类专家
• 独立研究者认为，全部由受影响设备组成的多签仍然脆弱，需要有未受影响的签名者构成多数------此为第三方判断，非 Coinkite 官方口径

一个必须打掉的错觉

很多人看到"修复固件已发布"就松了口气。Coinkite 自己把话说得非常直白------升级固件不会修改、也不会修复已经生成的种子。固件版本管的是未来生成的钥匙，不是已经出生的那一把。这是本次事故里最容易被误读的一句话，也是最贵的一句。

6. 按紧迫性排队：谁必须今天就动

命题再漂亮，读者的币先得安全。按紧迫性从高到低。

第一档 · 立刻迁移

在 Mk2/Mk3 上、用 4.0.1 至 4.1.9 固件生成的单签种子，且当时没有加骰子熵、没有设 BIP39 Passphrase。这一档就是正在被扫的那一批。判断依据是生成种子时设备上跑的固件版本，不是你什么时候买的设备。

第二档 · 尽快迁移

Mk4/Mk5/Q 上、在各自修复版本之前生成的种子。72 位与 32 位的分歧一天没有对账清楚，就按最坏假设行事------这类分歧的正确处理方式永远是取下界。

第三档 · 大概率安全，但值得核对

• 在别处生成、导入到 Coldcard 的种子------Coinkite 确认不在此次问题范围内，因为它们不是这台生成器的产物
• 生成时加了至少 50 次公平、独立、且从未被记录或泄露的骰子熵------Coinkite 称仅就本问题而言不受影响
• TAPSIGNER、OPENDIME、SATSCARD 不受影响
• Mk1、Mk2 未被 Coinkite 正式纳入说明范围

多签用户请特别注意这一条

全部由受影响设备组成的多签，并不安全。多签防的是单点被盗、单点故障、单点胁迫，它防不了"所有签名者的钥匙都出自同一台坏掉的生成器"。这是本次事故里最容易被高估的一层防御------你需要的是有未受影响的签名者构成多数，而不是"我有多签所以我没事"。

关于迁移本身的三条提醒

第一，迁移是有风险的动作。Bitcoin Well 的提醒说得很到位：匆忙迁移造成的损失，可能比你想躲的那个问题来得更快。抄错备份、没在设备屏幕上核对收款地址，这些错误不会因为你的新种子熵值完美而消失。正确顺序是：装好已验证的修复固件 → 生成全新种子 → 记录并验证备份 → 在设备屏幕上核对收款地址 → 先发一笔小额测试 → 确认到账后再迁移余额 → 全额确认前不要销毁旧备份。

第二，不要碰任何"种子恢复服务"。这类事故之后必然出现一批号称能帮你找回资产的骗子，他们要的东西只有一样。

第三，可以用 coldcardentropy.org 的本地查询核对地址------它明确说明查询在浏览器本地完成、不上传不记录，只输入公开地址，永远不要输入助记词、私钥、Passphrase、PIN 或钱包导出文件。但请记住该站自己的免责：未命中不等于安全。

7. 这次事故把成本转移给了谁

第一，风险从"用户的操作"转移到了"厂商的构建流水线》，但责任没有跟着转移

用户能控制的所有变量------保管、备份、离线、纪律------在这次事故里全部失效。真正决定生死的变量是一个用户完全无法观测、也无权审查的东西：厂商编译时某个宏的取值。而在自托管的叙事里，损失是用户自己承担的：没有存款保险，没有客服，没有回滚。自托管把资产的控制权给了你，也把一部分你根本无法控制的风险一并给了你。

第二，"开源可审计"这块招牌被重新定价了

开源的价值是真实的，但这次事故给它划了一条清晰的边界：开源保证的是"代码可以被看"，不保证"该看的地方有人看了"。当缺陷住在构建配置里、住在两个同名函数的符号解析里，社区审阅的默认动作覆盖不到那一层。以后再看到"开源、可复现构建"作为安全卖点，你应该多问一句：谁在检查符号解析？有没有构建期的断言？

第三，成本被转移给了最遵守纪律的人

这是本次事故最刺人的地方。频繁交易、经常换钱包、把币放交易所的人，反而躲过了。而 2021 年生成一次、焊死在地下室、五年没碰的人，正好是名单上的那一批。当风险的暴露期与持有时长正相关时，长期主义本身成了风险因子。这不是道德问题，是结构问题------但它确实会改变一部分人对"冷储"的理解。

第四，这不是孤例，而是一条正在成形的趋势线

把 2026 年 7 月整月的事故摊开看：全月约 2 亿美元、34 起。其中 AFX Trade 2,415 万（验证者密钥）、Ostium 1,800 万（预言机签名者密钥）、Triple-A 1,180 万（热钱包）、WEMIX 625 万（owner key）------全部是密钥与权限层；而传统意义上的合约漏洞类只有 Wanchain 1,000 万、Bonzo Lend 905 万、Verus 桥 754 万。Blockaid 的统计是 2026 上半年加密项目被盗超过 10 亿美元。攻击面已经结构性地从"合约写错了"迁移到"密钥的来源、保管与授权链出了问题"。而熵坍缩是这条趋势线的极端形态：不是密钥被偷，是密钥从来就没有被真正随机地生成过。

8. 替 Coinkite 说句公道话

把最强的一条反驳完整写出来。

最强反方：这是一次已被控制的、边界清晰的工程事故，不足以支撑"自托管风险在生成环节"这么大的结论

展开是这样的：缺陷的边界非常清楚------特定厂商、特定型号、特定固件区间；用骰子熵或 Passphrase 的用户不受影响；导入的种子不受影响；Coinkite 在事发当天就承认、次日就发了修复固件、公开了完整技术复盘，处置速度在行业里属于上乘。更重要的是，这恰恰证明了开源生态在起作用：缺陷被发现、被披露、被修复，整个过程公开可查。而 8,860 万美元相对于比特币的总市值、甚至相对于 2026 上半年被盗的 10 亿美元，都不算大。至于 Mk4/Mk5/Q，72 位在可预见的未来是安全的，绝大多数用户其实并不在火线上。

我怎么看

这条反驳的每一个事实我都认，处置速度那一条我甚至认为值得表扬------在这个行业里，当天承认、次日修复、公开完整根因的厂商是少数。

但它回避了命题真正的那一句：问题不是"这次损失有多大"，而是"我们有没有办法在下一次损失发生之前知道它已经存在"。

Debian 静默 20 个月，Milk Sad 静默 6 年，Coldcard 静默 5 年。三次事故，没有一次是被"监控发现异常"找出来的------两次靠人偶然翻代码，一次靠被盗之后的回溯，这次可能靠 AI 扫描。在整个静默期里，所有的仪表盘都是绿的。这不是运气问题，是这类假设在设计上就不可观测：一个熵不足的种子，在链上、在设备上、在任何监控里，都和一个完美的种子长得一模一样。

所以我的结论不是"硬件钱包不能用"------恰恰相反，硬件钱包仍然是绝大多数人最合理的选择，我不打算把任何人往交易所赶。我的结论是一个结构判断：

一个系统的安全性，取决于它最弱的那个假设；而一个系统的可管理性，取决于这些假设中有多少是可观测的。加密世界过去十年把巨大的精力投在"让攻击更难"，几乎没有投在"让假设失效时能被发现"。熵坍缩只是这个空白里第一个足够贵、贵到让人不得不看的样本。

骗局检查（讲机制不等于背书，这一节必须写）

Coinkite 是成立多年的加拿大公司，创始人 NVK 实名、长期公开活动，产品开源、有公开代码仓库与可复现构建，本次事故当天承认、次日发布修复固件、公布了精确到文件与行号的技术复盘。这里不存在跑路、匿名团队或恶意后门的问题------恰恰相反，正因为它是这个行业里透明度最高的一档，这次事故才更值得所有人认真对待：如果这样的工程实践都会静默五年，那些不开源、不做可复现构建、不公布根因的厂商，情况只会更差，而且你永远不会知道。

需要提醒读者警惕的是事故的次生风险：任何主动联系你、声称能帮你检测或找回资产、要求提供助记词或钱包文件的人，一律是骗子。这次事故创造的最大机会不在链上，在社工。

9. 五个问题，照任何一个你要托付资产的系统

这是本期真正要交付的东西。把命题压缩成五个问题，拿去照任何一个你要托付资产的系统------钱包、桥、预言机、托管方、稳定币、L2、多签方案。

第一问：随机性从哪来？有没有证据证明它真的被调用了？

不要问"用不用硬件随机数"，要问"如果硬件随机数没被调用，系统会怎样"。正确答案只有一个：编译失败或启动失败。任何"会静默退回到软件实现"的设计，都在等一个五年后的早上。 判据：有没有构建期或运行期的断言，而不是只有注释和文档承诺。

第二问：源码正确，编出来的二进制就正确吗？

可复现构建证明的是"所有人编出来的东西一样"，不证明"编出来的东西对"。这次的缺陷正好活在这条缝里。 判据：除了可复现构建，有没有符号级校验------即验证关键函数最终解析到了哪个实现。尤其要警惕两个实现共用同一个函数签名的情况：这是审计的天然盲区。

第三问：有没有本该动态获取、却被写死的值？

熵源是一类，还有一类是硬编码常量。上一期我们在稳定币事故里见过的"预言机把价格硬编码为 $1.00"，和这次的"回退到固定公式的随机数"，是同一种病：一个本该反映外部真实状态的量，被替换成了一个永远不变的量，而系统不会因此报错。 判据：把系统里所有"应该会变、但你从没见它变过"的值列出来，逐个问一遍为什么。

第四问：谁能签？这个集合有没有静默变过？

签名者集合、管理员权限、升级密钥------这些的变更往往不产生任何用户可见的事件。7 月那批事故里，AFX Trade、Ostium、WEMIX 全部倒在这一层。 判据：变更有没有链上事件、有没有时间锁、有没有第三方能独立复核当前集合。

第五问（元问题，最重要）：这个假设为假时，系统会不会告诉我？如果不会，它已经为假多久了，我查得出来吗？

把每一个前四问的答案再过一遍这道筛子。能被观测到的风险是工程问题，不能被观测到的风险是存在性问题。前者可以靠监控和响应管理，后者只能靠在设计阶段把它变成可观测的------事后没有任何补救手段。

这套框架的核心是一次视角转换：把安全审计的问题，从「代码里有没有漏洞」，换成「哪些假设为假时，系统不会报警」。前一个问题有无穷多个答案，永远查不完；后一个问题的答案通常不超过十条，而且写下来之后，每一条都可以被改造成一个断言。

10. 我可能错在哪

"其实不新"论证

"弱随机数导致密钥被破"是密码学工程的经典教材内容，Debian 和 Milk Sad 都写进过案例集。如果本期只讲到这一步，就该被"我早知道"测试直接淘汰。增量在三处，读者可以据此判断够不够格：一是不可观测性作为一个独立维度------不是"会不会出错"，而是"出错了会不会有信号"，这个维度在主流的安全讨论里基本缺席；二是可复现构建的边界------它证明一致性而非正确性，加上同名函数导致符号级盲区，这一点连很多安全从业者都会想当然；三是暴露期与持有时长正相关这个反直觉推论，它直接颠覆"冷储越久越安全"的直觉。如果这三条你都早就想清楚了，这一期对你确实无效。

最强的替代范式

也许我把因果搞反了：真正的教训不是"信任假设不可观测"，而是 "不要把 128 位的安全性押在单一实现上"。按这个视角，答案不是可观测性，而是冗余------用两个独立来源的熵异或、用不同厂商的设备组多签、用自带骰子熵。如果未来的行业解法主要沿着冗余而不是可观测性 ** 演进，那么我这套框架的重心就放错了地方。这是我认为最可能推翻本命题的一条路径。

三年后回看最可能的死因

AI 辅助审计在两年内把存量的这类缺陷大批量排掉，熵坍缩变成一个历史名词，而"不可观测的信任假设"被证明是一个自我消解的问题------工具进步直接把它变成了可观测的。这个概率不低。我的辩护是：排雷速度提升的同时，攻击者的扫描速度也在同步提升，而且他们没有披露义务。净效果是好是坏，现在下结论都太早。

哪些当前数据可能是假繁荣

两个。一是"观测到的清扫集中在 Mk3 单签"------这很可能只反映攻击者的成本排序，而不是 Mk4/Mk5/Q 的真实安全边际，把它当成"新型号没事"的证据是危险的。二是 8,860 万美元这个数字本身------它只统计了已经被搬走的，而不是已经暴露的；coldcardentropy.org 登记的 6,657 个唯一来源地址与最终损失之间的差额，代表的是尚未被收割的存量，不是安全的存量。

11. 十二个月后回来对账

落进预测账本。不预测价格，只预测结构行为。

核心预测（12 个月）

未来 12 个月内，行业对"熵与密钥生成"的处理方式将出现可观察的结构性变化------至少一家主流硬件钱包厂商公开引入构建期或运行期的熵源断言（而非仅承诺使用硬件 RNG），并且至少再出现一起由 AI 辅助审计发现的、潜伏三年以上的密码学原语级缺陷（无论是否造成损失）。同时，2026 全年的重大事故仍将以密钥 / 权限 / 生成层为主，而非合约逻辑层。

3 个月观察指标（至 2026-11）

• Coldcard 事件的最终损失是否停在 1,400 BTC 量级，还是继续向 coldcardentropy.org 登记的 6,657 个地址扩散
• Coinkite 与第三方是否就 Mk4/Mk5/Q 的 72 位 / 32 位分歧公开对账
• 其他硬件钱包厂商是否发布自查声明，以及声明里是"我们用了硬件 RNG"还是"我们加了构建期断言"------措辞差别就是本期框架的第一问
• 是否出现针对本次事故受害者的大规模社工诈骗

6 个月观察指标（至 2027-02）

• 是否有厂商把熵源断言、符号级校验写进公开的构建流程或审计报告
• 多签方案商是否开始明确要求"签名者来自不同厂商 / 不同熵源"
• 是否再出现一起潜伏超过三年的熵或密钥生成类缺陷

12 个月观察指标（至 2027-08）

• AI 辅助审计发现的历史缺陷数量是否显著上升，以及披露方是研究者还是攻击者先行
• 事故统计里密钥 / 权限 / 生成层占比是否继续高于合约逻辑层
• 是否出现监管或行业标准层面对"熵源可验证性"的要求

证伪条件（写死，我认账）

1. 未来 12 个月内，主流厂商的应对普遍停留在"更换 RNG 实现 / 加强代码审查"，没有任何一家引入可公开验证的构建期或运行期断言 → 说明"可观测性"不是行业实际采纳的解法，本期框架的重心放错，命题的实践价值被高估；
2. 未来 12 个月的重大事故重新以合约逻辑漏洞为主（占比超过密钥与权限层）→ 说明 7 月的样本只是短期噪声，"攻击面结构性迁移"这个判断方向看反；
3. Mk4/Mk5/Q 的争议最终确认为 32 位且大规模被扫，而我在文中按 72 位口径判断其紧迫性低于 Mk3 → 我在最关键的一个实操判断上失误，即使命题本身成立，也必须公开更正。

免责声明

本文不预测任何资产价格，不构成任何投资或买卖建议。文中涉及的具体厂商与产品仅用于说明技术机制与风险结构，不代表对其商业评价或推荐，也不代表本文认为其他产品更安全。文中的迁移步骤属于公开信息整理，不构成个性化安全建议；任何涉及私钥与助记词的操作都可能造成不可逆的资产损失，请以厂商官方指引为准，并自行承担决策责任。任何人向你索要助记词、私钥、Passphrase 或钱包导出文件，都是诈骗。

数据与来源

全部数据为 2026 年 8 月核查，厂商自述与第三方报道分栏标注。

厂商自述（一手）

• Technical Deep Dive into the Entropy Issue，Coinkite 官方博客 --- random.c（libngu 22--31 行）#ifndef MICROPY_HW_ENABLE_RNG 守卫失效、宏被定义为 0、2021 年 3 月 libNgU 迁移引入、上游 MicroPython 回退代码可溯至 2018 年 5 月、Mk2/Mk3 约 40 位、Mk4/Mk5/Q 约 72 位、两个 RNG 实现函数签名相同、修复方式为排除回退对象 + 构建期符号校验：https://blog.coinkite.com/entropy-technical-backgrounder/
• 受影响与修复版本：Mk2/Mk3 4.0.1--4.1.9（修复 4.2.0）、Mk4/Mk5 < 5.6.0（Edge < 6.6.0X）、Q < 1.5.0Q（Edge < 6.6.0QX）；"升级固件不会修改或修复已生成的种子"：同上及 Coinkite 公告，2026-07-31

第三方报道与取证

• COLDCARD Entropy Incident --- Address Check and Evidence --- 六个证据等级、6,657 个唯一来源地址、首波 500 笔交易 594.47722484 BTC、本地浏览器查询不上传、"未命中不等于安全"：https://coldcardentropy.org/
• A five-year-old Coldcard bug let hackers guess bitcoin wallet keys, Coinkite confirms，Blockhead，2026-08-03 --- 截至 8 月 2 日约 1,367 BTC / 约 8,860 万美元 / 逾 4,500 个地址，Galaxy Research 追踪；第三方分析称 Mk4/Mk5/Q 仅约 32 位进入最终种子：https://www.blockhead.co/2026/08/03/coldcard-hardware-wallets-shipped-with-broken-randomness-for-five-years-coinkite-confirms/
• Coinkite Releases Fixed Firmware After Coldcard Bug; AI Likely Involved In The Breach，Bitcoin Magazine，2026-07-31 --- 修复固件版本、NVK 关于 AI 辅助审查的表述、24 小时内逾 7,000 万美元：https://bitcoinmagazine.com/business/coinkite-releases-fixed-firmware-after-coldcard-bug-ai-likely-involved-in-the-hack
• Coldcard Hardware Wallet Flaw Linked to $70 Million Bitcoin Theft in 41 Minutes，The Hacker News，2026-08 --- 41 分钟内 1,196 个地址：https://thehackernews.com/2026/08/coldcard-hardware-wallet-flaw-linked-to.html
• COLDCARD Vulnerability: What Owners Need to Know，Bitcoin Well --- 受影响判定以生成种子时的固件版本为准、导入种子与 50 次骰子熵的例外、TAPSIGNER/OPENDIME/SATSCARD 不受影响、全部由受影响设备组成的多签仍然脆弱（第三方研究）、迁移步骤与"匆忙迁移风险更大"的提醒：https://bitcoinwell.com/coldcard-vulnerability

历史先例

• Random Number Bug in Debian Linux，Schneier on Security，2008-05 --- md_rand.c 两行 MD_Update 被删、/* purify complains */ 注释、2006 年 9 月引入、2008 年 5 月 13 日由 Luciano Bello 发现、唯一随机源退化为进程 ID、Linux 默认上限 32,768：https://www.schneier.com/blog/archives/2008/05/random_number_b.html
• Milk Sad 完整披露（CVE-2023-39910），milksad.info --- Libbitcoin Explorer 3.0.0--3.6.0、bx seed 用梅森旋转 + 32 位时钟播种、2016-10 经 PR#559 引入、2017-03 随 3.0.0 发布、2023 年 5 月开始被利用、2023 年 7 月 12 日约 29.65 BTC 被盗、2023 年 7 月 21 日发现、2023 年 8 月 8 日披露、主网 2,600+ 钱包、跨链损失逾 90 万美元、潜伏六年且链上无可见性：https://milksad.info/disclosure.html

趋势佐证（2026 年 7 月同期事故）

• July 2026 Crypto Hacks: Nearly $200M Lost Across Wallets, DeFi and Bridges --- 全月约 2 亿美元、34 起；AFX Trade $2,415 万（验证者密钥）、Ostium $1,800 万（预言机签名者密钥）、Triple-A $1,180 万（热钱包）、WEMIX $625 万（owner key）、Wanchain $1,000 万、Bonzo Lend 905 万、Verus 桥 754 万：https://cryip.co/july-2026-crypto-hacks-nearly-200m-lost-wallets-defi-bridges/
• Blockaid：2026 上半年加密项目被盗超 10 亿美元，经 Cryptoticker 周报引述，2026-08：https://cryptoticker.io/en/crypto-news-today-weekly-wrap-august-2026/