內容目錄
顯示
原始發布日：2026-08-24；V2 格式與來源查核日：2026-08-31。後來才公布的資料會標為「後續官方補充」，不回寫成原發布日已知事實。
今天先看三個判斷
- 已確認：Coldcard 舊版韌體的亂數設定錯誤，可能讓部分助記詞比預期更容易被離線暴力破解。
- 合理判讀：損失總額與個別失竊原因仍可能隨調查修正；但 Coinkite 已提供受影響 seed 的生成條件與遷移指引。專案方回應或裝置完成更新，都不能證明舊 seed 已修復。
- 待觀察：比特幣與以太幣週一反彈，但本週還有通膨與央行訊號，價格仍高度受總經影響。
1. 問題不在「冷不冷」，而在鑰匙當初怎麼產生
事件概述
TRM Labs 調查 指出，部分 Coldcard 舊版韌體在特定建置設定下，可能沒有使用預期的硬體亂數來源，導致生成助記詞的有效強度大幅下降。
資訊來源
- TRM Labs 調查（原稿來源；第二層／獨立媒體／研究機構）
- Coinkite：COLDCARD Security Advisory（官方原始來源；第一層／官方／原始來源）
資訊可信度
高：至少包含一個官方／原始來源，並有另一個來源可交叉核對事件階段或影響。
已確認事實
- 先看 冷錢包的原理與風險 與 加密貨幣錢包怎麼選 ，也要知道任何要求你在網頁輸入助記詞的訊息都屬於 常見虛擬貨幣詐騙手法 。
- 後續官方補充：依 Coinkite 安全公告，要看助記詞（seed，錢包的還原材料）生成當時的機型與韌體，而不是只看目前已更新的版本。受影響的裝置生成範圍是：Mk2／Mk3 的 4.0.1～4.1.9；Mk4／Mk5 的標準版 5.6.0 之前或 Edge 版 6.6.0X 之前；Q 的標準版 1.5.0Q 之前或 Edge 版 6.6.0QX 之前。標準版與 Edge 是不同軌別，版本號不能跨軌比較。 安全地在受影響裝置生成流程以外建立的 seed，不會只因匯入 Coldcard 就變弱；反過來，受影響 seed 即使還原或複製到新硬體，仍然受影響。
資訊判讀
損失總額與個別失竊原因仍可能隨調查修正；但 Coinkite 已提供受影響 seed 的生成條件與遷移指引。專案方回應或裝置完成更新，都不能證明舊 seed 已修復。
新手怎麼處理
後續官方補充：例外須分開判斷：只有當初透過 Add Dice Rolls 輸入至少 50 次公平、獨立、私密、未被記錄或外洩的擲骰，且確實使用加骰後最終詞組，官方才不認為該 seed 因這個亂數問題本身而有風險；次數或條件不確定就按遷移處理。強且唯一的 BIP-39 額外密語（passphrase，不是裝置 PIN）能增加一道屏障，但不修復弱 seed，仍應盡快在可行的情況下遷移。短、常見、有規律、引用名句、重複使用或強度不確定的密語，應視為有風險並立即遷移。
依 Coinkite 受影響 seed 遷移指南，更新韌體只修正之後的生成流程，不能修復已生成的受影響 seed；需要把資產移到全新 seed 控制的錢包。撤銷 ERC-20 授權不會替換比特幣弱 seed 的私鑰，不能當成本次修復。
遷移前先確認舊錢包的離線備份可恢復，記下並核對錢包指紋（wallet fingerprint，用來辨識錢包的代碼）；不要刪掉唯一可用備份。從 Coinkite 官方下載符合機型與軌別的修正版，先核對 SHA-256 與簽章，再安裝並在裝置上確認版本。最低修正版是 Mk2／Mk3 4.2.0、Mk4／Mk5 標準版 5.6.0 或 Edge 版 6.6.0X、Q 標準版 1.5.0Q 或 Edge 版 6.6.0QX；最低修正版不代表目前最新推薦版，下載時仍應查看 Coinkite 安全狀態頁。
若有第二台已更新、空的 Coldcard，可在該裝置產生全新的 seed；不要複製或還原舊 seed 當作修復。先離線記錄並核對新備份與錢包指紋，重新開機後再核對指紋，並在硬體螢幕確認收款地址。從舊錢包先轉一筆小額，確認新錢包實際收到且指紋、地址正確，再移轉其餘資產；任何指紋或地址不符都先停下，不轉款、不銷毀備份。
逐一清點原有且有資金的基本錢包、帳戶、額外密語錢包、BIP-85 子錢包與多重簽名配置，依 Coinkite 遷移指南的特殊錢包說明 處理，不要只搬一個畫面上的餘額。等所有預期資產到帳、確認並對帳完成前，保留舊備份；受影響 seed 退役後不再用它收新款。只有一台裝置時，需要在新舊錢包間安全切換，請完整依 Coinkite 單機遷移流程 操作，先驗證兩邊備份與指紋，勿直接照摘要重設裝置。
不要把助記詞、額外密語、骰序、備份密碼、XPRV 或私鑰 QR 輸入網站、AI 工具或傳給客服。後續事故報告仍可追蹤，但不要等報告才處理已符合受影響條件的 seed；遷移也不能保證追回已失竊資產。
2. Term Finance 的漏洞在治理，不在程式碼
事件概述
The Block 報導 顯示，攻擊者取得多個策略金庫的治理控制權，再透過提案把資產轉走；資安公司估算損失約 850 萬美元。
資訊來源
- The Block 報導（原稿來源；第二層／獨立媒體／研究機構）
資訊可信度
中：目前只有單一公開來源；可記錄事件，但不把金額、根因或因果關係視為最終定論。
已確認事實
- The Block 報導 顯示，攻擊者取得多個策略金庫的治理控制權，再透過提案把資產轉走；資安公司估算損失約 850 萬美元。
- 這類事件提醒我們， 智能合約是什麼 照規則執行也可能造成損失，因為錯的可能是投票門檻、權限配置或參與率。
資訊判讀
合約「照規則做」不代表結果安全；規則本身也可能被設計成可被奪權。 已確認的是事件或異常本身；損失總額、根因與受影響範圍仍可能隨事故調查修正。把「專案方已回應」和「問題已完全解決」畫上等號，會低估後續風險。
新手怎麼處理
先確認自己是否使用受影響產品、版本、合約或鏈；只從官方入口更新與撤權。大額資產與日常互動錢包分開，尚未有正式事故報告前不要因二手訊息匆忙簽署新交易。
今日風險儀表板
| 面向 | 今日訊號 | 可信度 | 判斷理由 |
|---|---|---|---|
| 資安 | 升高 | 高 | Coldcard 受影響 seed 須依生成條件判斷並遷移，更新韌體不能修復舊 seed；其他事件範圍仍以正式調查為準。 |
| 監理 | 持平 | 資料不足 | 本期沒有足夠證據顯示適用規則已出現重大改變。 |
| 市場波動 | 資料不足 | 資料不足 | 本期缺少一致且可比的市場資料，不能判定波動風險下降。 |
| 操作 | 升高 | 官方遷移指引 | Coldcard 受影響 seed 應著手安全遷移，先驗備份、地址與小額到帳；並非有一個可安心等到的統一截止日。 |
接下來觀察什麼
- Coldcard 的後續技術報告、最終損失與受影響範圍有無更新；持有受影響 seed 的讀者應依既有官方遷移指引處理，不必等報告才開始。
- Term Finance 的漏洞在治理，不在程式碼是否發布正式事故報告、最終損失與受影響範圍。
- 若核心來源撤稿、更正或與官方文件衝突，立即重新評估本期判讀。
站內延伸閱讀
本文為公開資訊整理與觀念教育，不構成任何投資建議。加密資產價格波動劇烈且可能大幅損失，進場前請自行研究並評估自身風險承受能力。
