据TEXITcoin创始人Bobby Gray披露，Coldcard硬件钱包的种子生成漏洞已导致约1.16亿美元比特币面临被盗风险，并重新引发用户对自托管工具安全性的质疑。攻击者从超过5200个地址中盗取了约1816枚比特币（价值约1.16亿美元）。
该漏洞源于固件集成错误，导致部分Coldcard Mk2和Mk3设备在创建钱包种子时，使用的软件随机数生成器仅产生约40位熵值，而非预期的128位。受影响的固件版本为4.0.1至4.1.9，该错误自2021年3月出现，持续超过五年，直至Coinkite于7月30日披露。Mk4、Mk5和Q设备受影响程度较轻，有效熵值约为72位。
Gray表示，用户之所以遭受损失，是因为他们相信硬件钱包能生成安全的种子短语，而未独立检查随机性来源。“Coldcard的种子生成器瘫痪了五年，却让用户付出了1.16亿美元的代价。”低熵值使原本抗暴力破解的恢复短语成为可被攻击者搜索的目标，而无需物理访问设备。TRM Labs指出，攻击者无需打开、窃取或修改硬件钱包即可重建私钥。
Coinkite的安全公告显示，用户在创建种子时如果添加了至少50次公平、私密且独立的骰子投掷，则不受该漏洞影响。50至98次投掷可增加至少128位熵值，99次以上则增加约256位。Gray强调，自托管本身并未失败，失败的是盲目信任：“如果用户没有独立验证自己的熵值，无论设备堆叠了多少安全功能，他们实际上都不知道自己持有的是什么。”
事件发生后，OKX报告了创纪录的存款流入，部分比特币持有者将资产从个人钱包转移至中心化平台。但Gray认为，将资产交给交易所并非解决方案，因为中心化服务控制用户密钥，可能冻结提款、遭受安全漏洞或财务失败。他呼吁用户独立验证密钥生成过程，而非依赖产品宣传的安全特性。
对于仅希望获取比特币价格敞口的美国投资者，美国上市的现货比特币ETF消除了种子生成、固件更新和物理备份的需求。但ETF股东无法将底层比特币提取至个人钱包或用于支付，且机构托管同样存在风险。Coinkite已发布修复固件，但现有脆弱种子需要完全迁移钱包。用户需安装更新、生成新种子、验证指纹和接收地址，并进行小额测试交易后再转移全部余额。