四行代码。
1,596+ 枚 BTC 灰飞烟灭。

钱包所有的防护，都押在一个猜不到的数字上

硬件钱包有几项工作。它向你展示你实际签署的内容，而不是让你去信任受感染电脑的屏幕，并将你的密钥保留在专为防拆解而设计的芯片中。所有这些防御都假设你密钥所源自的数字是不可能被猜到的。如果能被猜到，攻击者就永远不必突破其中任何一道防线。 24 个单词的助记词所抽取自的密码池，其大小大约相当于可观测宇宙中每千个原子对应一个数字。这样大小的密码池是无法被穷举的。这就是整个安全模型。

COLDCARD 不再从那个数字池里抽数

2021 年的一次固件更新悄然停止了钱包向专用随机数芯片索取该数字的行为，转而让普通软件计算出一个替代数字。对照来看，整个事件的本质如下：

这并不是安全性能打了三折。每个比特都会使工作量翻倍，因此减少 88 个比特意味着将工作量缩减了 2⁸⁸ 倍。对个人而言万亿是个大数字，但对于租用高性能机器来处理这件事情的人来说只是个小数字。

因为软件无法做到真正的随机

想想是什么让抛硬币变得不可预测。投掷的力量、重力、空调吹出的气流、地面的微小震动。数十种你能说出的影响和数十种你无法说出的影响。没有人能够计算出轨迹，因此没有人能预言结果。 软件的工作方式则不同。它对少数几个初始值运行固定的公式，并产生固定的答案。在这里，这些值是芯片的序列号以及设备开机运行了多长时间。了解了配方和原料的攻击者会重新计算出输出结果，而不是去猜测它。

本应拦截此事的检查机制问错了问题

构建版本中曾有一个保护机制，专门用于阻止在没有硬件生成器的情况下发布固件。它检查的是是否存在某个设置，而不是该设置是否已开启。 该设置存在，并且它是关闭的。保护机制保持沉默，构建未报告任何错误，固件随之发布。

这一切在五年里看起来毫无破绽

脆弱的恢复助记词看起来和强密码完全一样。二十四个普通的词，正确的校验和，一个表现正常的设备。屏幕上没有任何警告，构建过程中也没有任何错误。 源代码自始至终都是公开的。但要阅读它，仍然需要有人去打开那个特定的文件。

随后有人做了一道数学题

他们从未接触过任何一台实际设备。他们在自己的机器上生成了可能的助记词，计算出每一组会生成哪些比特币地址，并将这些地址与公开区块链进行核对。所有持有余额的地址都被清空了。 一个自 2022 年起就一直断电闲置在抽屉里的钱包，其暴露风险与日常使用的钱包完全相同。