Coldcard漏洞致超1.3亿美元比特币被盗

核心提要：Galaxy Research披露，Coldcard硬件钱包因固件漏洞导致约1596枚比特币被盗，若第四波攻击确认，损失或达2055枚。调查发现多数资金未转移，建议用户立即更换种子并升级固件。

冷卡钱包漏洞引发大规模比特币资产流失事件

据Galaxy Research最新分析，已确认的三波攻击中，与Coldcard硬件钱包种子生成缺陷相关的损失已达1,596枚比特币；若后续疑似第四波攻击被证实，总损失可能攀升至约2,055枚，市值接近1.3亿美元。

第四波攻击迹象浮现，尚待受害者验证

尽管尚未正式纳入统计，但研究机构已识别出具备高度一致性的链上行为模式，指向一次潜在的新一轮协同攻击。该波次主要由单一操作者实施，分析师基于链上活动判断其可信度较高，但受害地址范围仍存在不确定性。

全公司研究主管Alex Thorn于8月3日首次捕捉到异常交易特征，随后估算本轮影响金额约为448.7枚比特币，涉及约709个疑似受侵地址。然而，当前数据仅能反映行为模式，无法完全确认每位地址的实际所有者或攻击者的统一性。

调查团队正持续整合来自钱包持有者及其他协作方提供的新线索，以完善攻击路径图谱。

漏洞根源可追溯至2021年固件更新

此次安全危机源于影响Coldcard Mk3、Mk4、Mk5及Coldcard Q设备的一系列固件版本中的种子生成机制缺陷。Coinkite披露，该问题在2021年3月引入新加密库时被意外植入。

受影响固件错误地采用MicroPython内置的确定性伪随机数生成器替代了应有的硬件真随机数源，从而大幅降低种子熵值。尽管硬件随机数模块在其他功能中仍正常运行，但其在钱包创建流程中的启用状态未被正确管理。

Block团队独立复核后得出相同结论。据评估，受影响的Mk2/Mk3设备生成的种子有效熵仅约40位，而Mk4/Mk5及Coldcard Q型号也仅达72位，远低于标准128位要求。

九成被盗币未动，为追查提供窗口期

调查机构已联合美国联邦执法部门、主流交易所与网络追踪组织共享已识别的攻击者与受害者地址列表。数据显示，前三个确认攻击波次中被盗的比特币几乎全部保持静止状态，自转入以来未发生任何移动，为监控和干预创造了宝贵时间。

研究人员警告，在未修复设备继续使用的情况下，新攻击者可能重复利用同一漏洞发起新一轮窃取。因此，尽快锁定更多受控地址至关重要，以便在资金首次转移时实现快速响应。

链上数据显示，第四波疑似攻击期间，每区块平均钱包扫描次数飙升至约13.8次，较此前的0.3次显著上升。多数被盗余额被分散转移至新创建地址，部分资金经由二次跳转交易处理，进一步增加追踪复杂度。

对于仍掌控被攻破钱包的用户，可通过“替换手续费”机制尝试撤销未确认的交易，但该策略仅在矿工尚未打包原交易前有效，且不保证成功。建议立即迁移资金并生成全新种子。

用户应立即执行种子重置与固件升级

Coinkite已发布紧急固件补丁，涵盖Mk2/Mk3的4.2.0版、Mk4/Mk5的5.6.0版、Coldcard Q的1.5.0Q版，以及Edge版6.6.0X和6.6.0QX。同时，所有含易损固件的库存已被销毁。

需明确的是，仅更新固件无法保护原有种子。使用旧固件生成的种子短语仍处于暴露风险中，必须更换。推荐用户在完成固件更新后，创建全新种子，通过小额测试交易验证接收功能，确认无误后再转移全部余额。

Coinkite补充指出，采用至少50次公平骰子投掷方式生成的钱包不受此缺陷影响。虽强密码短语可增强安全性，但原始种子依然脆弱，强烈建议迁移至更安全环境。