Coldcard漏洞四波攻击持续蔓延，冷钱包安全遭重创

核心提要：Coldcard硬件钱包接连遭遇四轮链上攻击，累计损失超1086 BTC。攻击者利用弱熵漏洞批量扫描老旧地址，多重签名钱包亦难幸免。专家警示：冷存储并非绝对安全，资产转移刻不容缓。

Coldcard漏洞引发多轮链上劫掠，闲置地址仍处高危状态

自首次爆发以来，Coldcard相关漏洞已触发四轮系统性攻击，长期未动用的比特币钱包持续面临资金被窃风险。即便持有者未主动操作，其资产依然暴露在攻击范围内。攻击者近期再度活跃，不断扩展目标范围，将窃取资金逐步集中至更大规模的钱包地址中。初步数据显示，首波针对500个钱包的行动已造成逾7000万美元损失。

旧版Coinkite钱包用户仍陷威胁，迁移成唯一解法

截至8月3日，使用多款Coinkite旧版本设备的用户仍未脱离风险区。当前唯一有效应对措施为立即将资产转移至新生成的、经过验证的安全钱包。尽管Coldcard曾被视为比特币极客群体中的首选冷存储工具，并广受推崇，但白帽安全团队披露，仅需数分钟的AI计算即可识别出存在缺陷的地址。

第四波攻击呈现新特征，多重签名钱包成重点目标

链上分析揭示，第四波攻击展现出与前几轮截然不同的模式。研究机构Firmwide Research的Alex Thorn指出，此次攻击可能专门锁定多重签名结构钱包。截至8月3日，已有约857个地址确认受损，总计损失达486.11 BTC。攻击者通过部署多个中间地址，实现对大量Coldcard用户的资产扫荡，随后快速聚合至更高层级钱包。

漏洞根源深挖：代码设计引入弱熵机制

长期以来，比特币倡导自我托管以规避中心化风险。然而，Coldcard事件暴露出一个前所未有的问题——特定硬件设备的群体性安全缺陷。据@hodlonaut等核心社区成员披露，该平台在代码库中刻意屏蔽了2500行关键逻辑，注释稀少，导致生成过程中熵值严重不足。原本应启用的复杂熵函数被禁用，虽保障运行稳定性，却使数千个钱包极易遭受暴力破解。

弱种子隐患加剧，AI算力重塑攻击格局

该事件促使市场重新审视“弱种子”风险。如今，借助低成本租用算力，这些低熵地址可被高效定位。交易员Jameson Lopp回忆称，其他主流钱包也曾出现类似漏洞，且在危机前完成修复。但对于长期冷存、基于弱派生路径生成的地址而言，新型AI驱动的扫描手段仍构成实质性威胁。这一趋势表明，即使物理隔离的存储方式也无法完全抵御算法层面的系统性攻击。