CryptoJS PRNG缺陷致加密钱包种子可预测（Ill Bloom漏洞分析）

漏洞概述 Coinspect在2026年5月发现了一个钱包生成漏洞，该漏洞影响了多个网络上的用户。这个漏洞已经存在超过十年，攻击者在调查期间就已经在利用它。漏洞的根本原因是CryptoJS库中的随机数生成函数存在缺陷，导致生成的恢复短语可以被预测。 影响范围 时间跨度：漏洞存在超过十年。 影响范围：多个网络上的钱包应用受到影响。 具体影响：攻击者能够生成候选恢复短语，并通过与区块链数据对比，识别出实际使用的恢复短语，从而访问用户的钱包。 修复方案 技术披露：Coinspect创建了专门的研究网站（illbloom.org），详细记录了技术披露、调查方法和发现。 地址检查器：Coinspect开发了一个公共地址检查器，帮助用户验证其地址是否属于受影响的地址集。 合作与通知：Coinspect与相关方合作，通知受影响的用户，并协助他们采取保护措施。 依赖路径识别：建议受影响的项目和用户识别易受攻击的依赖路径，评估历史暴露情况，并将资金从使用不安全随机数生成的钱包中迁移。 关键发现 漏洞根源：CryptoJS库中的随机数生成函数存在缺陷。 历史背景：该漏洞在2014年已被修复，但下游钱包应用仍在使用旧版本。 公开讨论：漏洞在GitHub Issues中多次被公开讨论。 相关链接 技术披露：Ill Bloom Technical Disclosure: The CryptoJS Randomness Vulnerability 受影响钱包识别：Identifying the Wallets Behind Vulnerable Recovery Phrases 研究网站：illbloom.org 总结 Coinspect的调查揭示了CryptoJS库中随机数生成函数的长期漏洞，该漏洞已被攻击者利用多年。通过技术披露、地址检查器和与相关方的合作，Coinspect帮助受影响的用户和项目采取了保护措施。建议用户和项目更新依赖，迁移资金，以避免进一步的损失。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CryptoJS PRNG缺陷致加密钱包种子可预测（Ill Bloom漏洞分析）

目标达成感谢每一位支持者 — 我们达成了 100% 目标！