Coldcard漏洞致超8900万美金比特币被盗

核心提要：2021年3月发布的Coldcard固件存在严重随机数生成缺陷，导致攻击者持续利用该漏洞窃取比特币。截至目前，累计损失已超1,367枚BTC，价值接近8,900万美元，攻击手法不断升级，试图通过分散转移掩盖行踪。

冷卡钱包旧版漏洞引发持续性大规模比特币盗取事件

根据Galaxy Research最新披露的分析报告，2021年3月版本的Coldcard硬件钱包软件中一个关键漏洞正被持续利用，造成多轮比特币资产被非法提取。截至当前，已有4,585个地址遭受攻击，总计约1,367枚比特币被转移，按现行市价折算，总价值逼近8,900万美元。

漏洞根源：伪随机机制暴露私钥可预测性

此次安全危机的起因可追溯至2021年3月发布的一次固件更新。该版本在生成密钥时依赖于可预测的软件级随机数算法，而非基于物理熵源的硬件加密机制，致使部分私钥具备被逆向推导的可能性。这一设计缺陷使得攻击者无需接触设备即可通过计算重建特定钱包的私钥。

第三波攻击覆盖更广泛目标群体

研究机构指出，攻击活动已进入第三阶段。数据显示，在周五中午至周六凌晨期间，攻击者从1,912个独立地址中成功提取了约208枚比特币。相较首轮集中打击高余额账户的策略，本轮攻击已扩展至小额钱包，部分受害者仅持有数千美元等值资产，显示出攻击范围的显著扩大。

攻击模式演变：分拆转账增强隐蔽性

与前两轮将资金集中汇入少数地址的做法不同，第三轮攻击采用更为复杂的链上操作——每笔被盗资产均被分别转入多个独立地址。此外，交易输出中引入多重签名及时间锁等高级功能，显著增加了对攻击路径进行溯源和追踪的技术难度。

漏洞延续至今，风险仍在蔓延

调查确认，该漏洞源于2021年3月推出的Coldcard固件版本。由于其随机数生成逻辑存在系统性缺陷，使得特定密钥组合具备可复现性，从而允许远程计算重构私钥。研究人员强调，攻击行为已持续超过三天，攻击者仍在主动扫描并尝试利用仍运行旧版本的设备。

累计损失逼近九千万元美元

三轮攻击累计导致1,367枚比特币被非法转移，折合当前市场价值约为8,900万美元。尽管链上数据未明确指向单一实施主体，但所有攻击行为在时间线、手法与目标特征上高度一致，研究团队高度确信由同一实体主导。然而，尚无法确认是否为个人或组织所为。