當晶片隨機數不再可靠：從 Coldcard 低熵漏洞看主要冷錢包廠商的「熵安全」哲學
標籤：加密貨幣安全 冷錢包 硬件錢包 Bitcoin 密碼學
2026年7月31日發生的 Coldcard 低熵漏洞事件，無疑給整個加密貨幣硬體安全領域敲響了警鐘。由於韌體在庫連結（libsecp256k1）時的編譯配置錯誤，導致多款機型產生的助記詞熵值（Entropy）大幅低於密碼學標準（甚至低至 72 位元以下），引發離線暴力破解的安全危機。
這起事件暴露了一個核心問題：「即使配備了高規格的安全晶片（Secure Element），我們還能完全信任硬體產生的隨機數嗎？」
一、 各大冷錢包廠商的技術立場與架構回應
面對「硬體 TRNG 故障或後門」的風險，產業內各大廠商展現了不同的防禦哲學與技術路線：
| 廠商 / 品牌 | 核心安全立場與架構 | 物理熵 / 外部熵支援機制 |
|---|---|---|
| Keystone | 主打開源與多源熵混合。採用獨立三晶片架構（3 SE），強調可重複編譯與社群稽核。 | 支援（螢幕觸控輸入） 可在螢幕上記錄擲骰子點數（Dice Roll）直接注入物理熵。 |
| BitBox | 強調「多源熵防禦」。預設強制結合 MCU TRNG + SE TRNG + 設備金鑰 + 用戶熵。只要單一熵源正常即可保證安全。 | 支援（微型觸控列） 允許用戶設定時透過微型觸控列手動注入額外熵值。 |
| Trezor | 強調「可重複編譯驗證（Reproducible Builds）」與程式碼審查，防止編譯鏈層面的隱形漏洞。 | 支援（SD 卡/軟體端） 支援透過 MicroSD 卡或命令行工具導入用戶自訂熵。 |
| Blockstream Jade | 主張物理世界噪點。認為單純依賴晶片 TRNG 存在密碼學盲點，鼓勵將實體世界變數導入金鑰生成。 | 支援（相機與骰子） 支援拍攝環境物理噪點（相機雜訊）或手動輸入擲骰子結果。 |
| Ledger | 堅守閉源高規格安全晶片（EAL6+），強調晶片 TRNG 通過 FIPS 140-2 / AIS-31 測試，硬體認證才是防禦關鍵。 | 不支援 完全由安全晶片內部生成隨機數，不開放用戶注入外部物理熵。 |
| Tangem | 採取 Seedless（無助記詞）架構，私鑰直接在晶片內生成且永遠不可導出，靠多張卡片互相備份。 | 不支援 因無螢幕按鍵且採用無助記詞設計，無法輸入外部物理熵。 |
| CoolWallet | 薄卡設計（CC EAL6+ SE 晶片），私鑰生命週期被嚴格鎖死在晶片內。支援導出助記詞，但簽署僅在晶片內完成。 | 不支援 受限於薄卡物理形態（僅單色電子紙與單一按鈕），無法進行擲骰子等複雜熵輸入。 |
二、 業界兩大安全哲學的對立
從上述廠商的表態可以看出，冷錢包產業已分化為兩大陣營：
-
極客 / 密碼學派（Keystone, BitBox, Trezor, Blockstream）：
核心邏輯是「不信任任何單一晶片或韌體」。他們認為硬體晶片可能包含後門，編譯器也可能出錯。因此必須透過開源審查，並提供用戶輸入物理熵（擲骰子）或多源熵（MCU + SE）混合的機制。 -
硬體隔離 / 防人為失誤派（Ledger, Tangem, CoolWallet）：
核心邏輯是「不信任用戶的人為操作」。他們認為人為擲骰子（骰子不公、輸入錯誤）或抄寫助記詞帶來的安全性漏洞，遠大於安全晶片故障的風險。因此選擇將私鑰與隨機數完全交給符合最高安全認證（EAL6+）的硬體 TRNG 處理。
三、 使用「擲骰子（Dice Roll）」輸入物理熵真的萬無一失嗎？
為擺脫對黑盒晶片的依賴，越來越多進階用戶選擇透過擲骰子來輸入物理熵。從密碼學角度來看，一顆標準的六面骰（D6）每次拋擲可提供約 2.585 位元的熵：
- 50 次有效拋擲：可獲得約 129 bits 熵（滿足 12 字助記詞需求）。
- 99 次有效拋擲：可獲得約 256 bits 熵（滿足 24 字助記詞需求）。
⚠️ 物理熵實務上的隱患與盲點：
- 韌體哈希邏輯漏洞：若設備韌體有惡意後門或程式碼邏輯寫錯，即使用戶輸入了完美的骰子熵，韌體在將骰子熵與設備熵進行混合時仍可能丟失強度。
- 物理偏誤：普通的桌遊骰子常有質量分佈不均的問題，導致拋擲結果並非完全隨機（建議使用賭場級精密骰子）。
- Checksum 依賴：BIP-39 助記詞的最後一個字包含校驗碼（Checksum），依然需要透過設備晶片運算生成。
四、 結論：打造終極安全的最佳實踐策略
Coldcard 事件給我們的教訓是：「單一設備、單一供應商的防護永遠存在單點故障（Single Point of Failure）的風險。」
對於管理重大資產的冷錢包使用者，建議採用以下分層防禦架構：
- 物理熵 + 多源混合：若使用單簽，優選支援 99 次擲骰子手動輸入且程式碼開源可審查的設備（如 Keystone、Blockstream Jade）。
- 啟用強 Passphrase（第 25 個字）：設定一個足夠強大的隨機 Passphrase（16 字元以上），這能在助記詞熵值遭硬體瑕疵削弱時，額外建立一道獨立的密碼學屏障。
- 跨品牌多重簽名（Multisig 2-of-3）：這是對抗單一廠商韌體漏洞最徹底的手段。例如組合 Trezor + BitBox + Keystone 建立多簽，即使未來有任何一家廠商再度爆發隨機數生成漏洞，攻擊者取得單一私鑰也絕對無法轉走資產。
沒有留言:
張貼留言