狗狗币社区成员Mishaboar于8月1日发出紧急通知，敦促所有使用Coldcard硬件钱包的用户立即将资金转移至由全新生成种子短语控制的新钱包中。
Galaxy Research分析显示，三波疑似恶意攻击从4585个独立地址中提取了1367.05枚比特币，按当前市价估算总值约为8860万美元。该机构将此金额标注为“观测估计值”，尚未获得Coinkite、执法部门或受害者的最终确认。
首次攻击在7月30日的41分钟内，从1196个地址中窃取1082.65枚比特币；第三次浪潮则覆盖1912个地址，盗取约208枚，平均单地址余额低于0.1枚。这一趋势表明攻击者正逐步转向低余额账户以扩大目标范围。
尽管各轮攻击在内部行为模式上高度一致，疑似出自同一操作主体，但尚无法确认是否为统一实体所主导。第三次攻击采用独立收款地址，并将多个受害者分批纳入单一交易，且仅验证默认派生路径，与前两轮存在差异。
研究团队强调，现有可识别的交易特征并不能涵盖全部潜在盗窃行为。其他攻击者可能以不同费用结构、收款格式或数据收集方式发起有效攻击，从而规避监测。
Coinkite明确指出，问题影响在Mk2和Mk3设备上运行固件4.0.1至4.1.9期间生成的种子。对于Mk4和Mk5型号，标准版5.6.0前或Edge版6.6.0X前生成的种子亦受波及。Coldcard Q设备的修复版本分别为标准版1.5.0Q与Edge版6.6.0QX。
Mk1设备不在此次问题范围内。TAPSIGNER、OPENDIME和SATSCARD因使用独立代码库，未受本次漏洞影响。因此，当前证据不足以证明所有Coinkite产品均存在相同缺陷。
Block团队追溯发现，漏洞源于固件集成错误：系统在生成密钥时误用确定性MicroPython回退方案，而非预期的STM32硬件随机数生成器。在Mk2和Mk3 v4固件中，相关路径未引入加密熵。后续型号虽有部分安全元件重播种机制，但未能完全弥补缺陷。
Block声明其分析反映当前技术判断，尚未完成对所有设备的全面实证测试。Coinkite亦表示调查仍在进行，承诺将发布正式技术报告。
Coinkite已针对所有受影响型号及发布轨道推出修复固件，可确保新钱包生成过程的安全性，但无法为已创建的种子增加随机性。若将原有脆弱种子导入其他硬件或软件钱包，漏洞仍会随同转移。
用户应在安装正确修复版本后，再生成新的备份。建议通过设备屏幕核对收款地址，并发送小额测试交易以验证到账情况，确认无误后再转移全部余额。
公司建议保留旧备份直至迁移完成。Mishaboar额外提醒，切勿在联网计算机上输入种子短语，应将离线副本存放在不同物理位置，降低钓鱼攻击、恶意软件和云同步风险。
Coinkite设定了一个有限例外：若用户在最终种子生成前执行至少50次公平、独立且私密的掷骰操作，且每次记录完整序列，则不受影响。这些操作需贡献至少128位独立熵值。未达次数、记忆模糊或暴露序列者应立即启动迁移流程。
即使使用高强度的BIP-39密码短语，也无法修复已存在的种子缺陷。简短、重复或可预测的密码易被破解。即便如此，仍建议此类用户尽快更换底层种子以增强安全性。
比特币投资者Anthony Pompliano指出，此次事件凸显了自我托管在技术门槛上的严苛要求，尽管个人掌控资产是核心优势。他强调，比特币协议本身未遭攻击——问题出在第三方钱包固件层面，而非区块链底层。
“这对许多人而言是毁灭性的。他们以远超多数人预料的方式失去了多年积累的财富。并非每个人都具备技术专长，但绝大多数用户只是想……”
关键在于，攻击者通过离线复制脆弱私钥，即可生成合法链上交易。整个过程无需篡改比特币交易规则、破解加密算法或破坏共识机制。一旦私钥落入手中，伪造交易即被视为真实授权。
此前损失估算从最初的594.48枚比特币上升至1367.05枚，系因研究人员识别出更多关联地址组。
该事件也推动美国机构托管讨论升温。有观点认为，此类损失强化了现货比特币ETF的合理性——投资者可在不承担私钥管理责任的前提下获取价格敞口。然而，这也意味着风险从个人保管转向机构托管与交易对手风险。
Coinkite的技术审查进展及Galaxy Research的进一步链上分析将是下一阶段关注重点。在正式公告发布前，8860万美元仍为公开链上观测的最新估计数据。受官方覆盖范围内的用户须优先安装修复固件并完成资金迁移。
声明：文章不代表币圈网立场和观点，不构成本站任何投资建议。内容仅供参考！
免责声明:本站所有内容仅供用户学习和研究,不构成任何投资建议.不对任何信息而导致的任何损失负责.谨慎使用相关数据和内容,并自行承担所带来的一切风险.