吴说获悉，比特币硬件钱包 COLDCARD 宣布推出最新固件版本（Mk4/Mk5 为 5.6.1，Q 为 1.5.1Q）。新版本强制要求所有新生成的助记词（Seed）必须包含一项用户熵源（至少 65 次非固定时间按键、50 次实体投骰子或 128 次抛硬币），并与 STM32 TRNG、SE1 及 SE2 的硬件熵结合；同时新增签名阶段 PSBT 校验、强化 USB 边界隔离与 RNG 故障自检等安全更新。COLDCARD 特别强调，固件升级无法修复此前在受漏洞影响版本上已生成的助记词，受影响用户必须升级设备、重新生成并验证新助记词后再行迁移资金。

太疯狂了！说出来你可能不信，GitHub史上最危险的开源仓库，居然真的出现了！ 有个大神，直接做了一套完整的10.5GHz雷达系统。 最离谱的是，它能追踪到20公里外的目标，而且整套项目，从头到尾全部开源，一点没藏私！ 更狠的是，项目配套的资源全到离谱，直接给齐： → 完整的PCB设计文件+电路原理图，不用自己琢磨电路 → FPGA信号处理代码，直接能用 → STM32固件，省去烧录调试的麻烦 → 带地图功能的Python GUI，操作起来很直观 → GPS/IMU集成方案，不用额外搭配配件 → 还是MIT开源协议，100%免费，随便用、随便改 截至现在，这个项目在GitHub上已经飙到6800个星标，火得一塌糊涂。 大家可能不知道，这种级别的雷达项目，要是找防务承包商做，报价绝对是天价，普通人想都不敢想。 结果呢？就被一个开发者，轻描淡写地扔到GitHub上，免费给所有人用，真的太颠覆了！

早在 2025 年 5 月，一名安全研究员在审计 coldcard/firmware 时就得出了相同的结论。 当时，该研究员试图彻底厘清 Coldcard 随机数生成器（RNG）的具体来源，结果发现固件依赖了一个名为 libngu 的可疑开源库。该项目在 GitHub 上仅有 6 个 Star，且完全由一名开发者单独维护。 根据该研究员以往的经验，在 Python 中直接链接 libsecp256k1 并不复杂，而这似乎正是该库的主要用途，因此他对引入 libngu 的必要性产生了巨大疑问。 随后，研究员向 Coldcard 团队提交了一份安全报告，表达了对硬件真随机数（TRNG）是否真的被实际启用的疑虑，并明确指出 libngu 中硬编码的 yasmarang 伪随机算法常量处理相当草率。研究员建议他们彻底移除该库，直接链接官方 libsecp256k1。 然而，Coldcard 团队回应称，如果存在问题“他们早就知道了”，并保证一切在真实硬件上均已正确配置。受限于当时的情况，该研究员未能继续严密追查到底，事后他也将此视为一次严重的反思与教训。 --- 仓库 维护者：开发者账号 switck 关联 Coinkite（Coldcard 硬件钱包制造商）CTO Peter Gray。 重大安全事件：该库包含应用于硬件钱包/嵌入式设备的底层代码。 安全研究人员针对该库在条件编译宏（如随机数生成 TRNG/PRNG 回退逻辑）上的缺陷进行了分析，揭露了其对 Coldcard 硬件钱包种子词生成熵的影响及相关安全漏洞。 libngu 是一个专为嵌入式硬件打造的轻量级 MicroPython 比特币密码学底座，在资源受限的嵌入式 MicroPython 平台（如 ESP32、STM32 等）上提供运行 Bitcoin 所需的密码学基础库及算法支持。 开发明确声明仅专注于 Bitcoin，不引入或支持任何山寨币（Altcoins）。