餘弦解析Coldcard漏洞：Passphrase可躲過攻擊
安全研究者餘弦指出，在Coldcard硬件錢包弱隨機數安全事件中，若助記詞使用了Passphrase，可幸運躲過此波攻擊。
他強調Passphrase並非錢包解鎖PIN，而是BIP-39標準中爲助記詞設置的專用“密碼”（技術上作爲鹽值），通過PBKDF2派生種子：seed = PBKDF2(password=mnemonic, salt="mnemonic"+passphrase, iterations=2048, PRF=HMAC-SHA512)；無Passphrase導入助記詞將看到空地址，輸入正確Passphrase才能派生出真實資產地址。
主流硬件錢包普遍支持此機制，但多數軟件錢包尚未支持；用戶需謹記Passphrase本身，否則將永久失去訪問權限，事件凸顯額外熵層在種子泄露場景下的關鍵防護價值。
來源：公開信息
ABAB AI 解讀
餘弦作爲長期關注錢包與鏈上安全的研究者，借Coldcard Mk3等型號種子熵不足事件，重新普及BIP-39 Passphrase機制，指出其作爲助記詞鹽值可在主種子被暴力或弱熵攻擊時仍保護資產。
資本與產品路徑上，硬件錢包廠商通過Passphrase提供“第二道防線”，動機在於降低單一點故障風險，同時推動用戶從基礎助記詞向更高安全實踐遷移，軟件錢包的缺失則暴露生態分層差異。
類比多重簽名與硬件隔離，Passphrase處於“低成本增強自託管安全性”的實用層，而非全新協議。
本質屬於技術替代：當基礎種子熵可能不足時，額外用戶控制的鹽值把安全性從“設備隨機數依賴”部分轉移至“用戶記憶與操作”，重構單點失效的防護結構。
ABAB News · 認知定律
助記詞是前門，Passphrase是暗門
鹽值讓被盜的種子變成空殼
多記一個詞，少丟一次幣