Coldcard四波攻击持续发酵：448.7BTC被盗，用户紧急迁移

核心提要：Galaxy Research负责人Alex Thorn披露，Coldcard设备在8月3日遭遇第四波有组织攻击，疑似从709个地址转移448.7BTC。攻击模式与历史漏洞相关，内存池中仍有待确认交易可被替换，但用户需尽快生成新种子并完成迁移。

Coldcard第四波攻击暴露深层安全缺陷，资金追回路径存疑

Galaxy Research首席分析师Alex Thorn指出，8月3日发生的系列攻击中，至少有709个冷钱包地址被系统性扫描，共计转移448.7枚比特币。该分析基于链上数据，而非设备端记录，并将相关地址归类为“疑似受控于攻击者”的目标。

链上异常活动呈现显著增长态势

Thorn团队最初在区块960,778至960,792间识别出218笔可疑交易，涉及388.9 BTC及462个潜在受害地址。经后续扩展分析，攻击范围已覆盖数百笔交易，总金额升至448.7 BTC，受害者数量达709个。这些交易特征与早期被证实的漏洞利用模式高度一致，包括未花费输出和重复使用特定脚本结构。

攻击仍在进行中，内存池提供自救窗口

Thorn在社交平台X上发布警告称：“当前仍存在疑似第四波组织化攻击，内存池中有多笔类似交易等待确认。”他强调，此前已确认的交易启用了可替换手续费（RBF）机制，这意味着若用户仍掌握私钥控制权，可通过广播更高费用的冲突交易，尝试将资金转移至安全地址。然而，一旦交易被区块收录，则无法逆转，且替换操作不保证成功。

历史攻击轨迹显示累计损失超1800 BTC

根据现有追踪，前三波攻击共影响4,585个地址，合计抽走1,367.05 BTC。其中第一波针对1,196个地址，造成1,082.05 BTC流失。最新一轮使总受影响地址数增至5,294个，总被盗金额达1,815.75 BTC。但上述数据尚未获得官方、Coinkite或持有者方正式验证，且尚无证据表明四波攻击由同一实体发起。

固件漏洞根源：随机数生成器失效

问题核心源于2021年3月对Mk2至Mk5及Q版设备的固件更新，期间引入了错误的随机数生成逻辑。Coinkite评估显示，受影响的Mk2与Mk3设备生成的种子有效熵值约为40位，而Mk4、Mk5和Q版本虽提升至72位，仍未达到标准128位水平。此外，Block工程团队发现该固件调用的是确定性微Python回退方案，而非硬件级随机源，但尚未通过全面实证测试确认其可被实际利用。

应对措施：必须重置种子并完成迁移流程

Coinkite已发布多个新版固件：Mk2/Mk3对应4.2.0版本，Mk4/Mk5为5.6.0，Q版为1.5.0Q，Edge版则为6.6.0X或6.6.0QX。但仅升级固件不足以消除风险。用户须重新生成全新种子，并通过验证接收地址、发送测试交易后，方可安全转移全部余额。

公司补充说明，采用至少50次独立掷骰创建的种子不受此漏洞影响，且搭配独特BIP-39口令可作为辅助防护层。但鉴于潜在风险，仍强烈建议所有用户执行完整迁移流程。该建议不适用于TAPSIGNER、OPENDIME与SATSCARD等独立代码库产品。