Kraken首席安全官Nick Percoco近日表示，Coldcard持续五年的随机数生成器（RNG）漏洞暴露了硬件钱包在独立测试方面的重大短板，并称此次事件应为整个行业敲响警钟。
Percoco在周日发布的一篇X（原Twitter）帖子中指出，硬件钱包制造商应进行独立测试，以验证经批准的随机源确实是生产固件实际使用的随机源。“消费者被要求信任制造商对系统中最关键功能的实现，却没有独立验证批准的熵路径是否真正执行。”他说道。
他的评论源于一起仍在持续的攻击事件。该攻击被认为利用了受影响的Coldcard设备生成的弱种子短语。截至周日，超过4500个地址受到影响，近9000万美元的比特币被洗劫一空。Coinkite周四披露了该软件漏洞，该漏洞自2021年3月起便已存在——当时Coldcard在集成一个新的加密库时更改了其种子生成流程。此次迁移意外地将钱包创建过程路由到了代码库中一个较弱的MicroPython生成器，而非Coldcard原本设计使用的真随机数生成器（TRNG）。
Coinkite在事后分析中表示：“Coldcard上的大部分随机性来自一个我不知道源代码中实际存在的PRNG。与此同时，我精心编写的TRNG代码也在使用，但只是碰巧被用于不太重要的部分。”该预期随机数生成器的存在使得漏洞未被及时察觉。代码审查会确认Coldcard的TRNG代码存在且功能正常，但没有检查该TRNG是否是被实际调用的生成器。
Percoco指出，这类检查在整个安全行业已是标准做法，并引用了NIST SP 800-90B（美国国家标准，用于物理真随机数生成器的设计、测试和验证）以及BSI AIS-31（德国联邦信息安全办公室发布的类似标准）。他表示：“硬件钱包没有类似的流程。我们有对安全元件的通用标准评估、一些CSPN认证和由供应商赞助的审计，但它们都没有系统地强制进行端到端验证，以确认经过验证的熵源确实是生产固件实际调用的。”他还强调：“支付行业不允许PIN输入设备未经独立实验室测试即上市。美国政府不会接受未经熵源验证的加密模块。数字资产的自托管不应成为例外。”
Coldcard周日表示，自周四确认漏洞以来，已暂停所有设备出货，并销毁了其设施中所有含有受影响固件的剩余库存。然而，Coinkite建议受影响的用户不要丢弃设备，因为“如果资金被找回，这些设备可能变得至关重要。”该公司还表示：“我们的法律团队将酌情与多个司法管辖区的执法部门协调，支持识别责任人的工作。”