Coldcard钱包遭多轮攻击，比特币损失逼近1.3亿美元

核心提要：Galaxy Research披露Coldcard钱包遭遇多波黑客攻击，累计被盗1,596枚比特币，潜在损失或达1.3亿美元。漏洞源于特定固件版本的种子生成缺陷，受影响用户被紧急敦促迁移资金至新钱包。

Coldcard钱包漏洞引发大规模比特币盗取，损失逼近1.3亿美元

据Galaxy Research追踪数据显示，Coldcard硬件钱包遭受连续多轮网络攻击，已有1,596枚比特币被转移至未知地址。初步评估显示，此次事件总损失可能已触及1.3亿美元，若第四波攻击确认存在，金额或进一步上升。

三波主攻叠加十余起小规模入侵，共涉7,300个受损地址

调查机构指出，在已识别的三波主要攻击及14起辅助性事件中，共计7,300个区块链地址受到波及，累计损失达1,596枚比特币。当前仍存在疑似第四轮攻击的可能性，其影响范围有待受害者确认后方可纳入统计。

多方协作推进溯源，攻击模式呈现高度一致性

随着对链上活动的深入分析，Galaxy Research确认多个受侵地址之间的交易行为具高度关联性，判断第四波攻击极有可能由同一攻击者实施，置信度达中等偏高水平。然而，官方数据更新需以直接来自受害者的验证为前提。

此次漏洞集中影响使用特定版本固件生成的Coldcard设备，包括Mk3、Mk4、Mk5以及Coldcard Q型号。Coinkite公司已发布紧急固件补丁，并全面建议用户立即执行资金迁移操作。

种子生成机制缺陷致随机性失效，攻击者可预测私钥

根本原因在于受影响固件在生成助记词时，错误调用确定性算法而非硬件级随机源，导致密钥生成过程出现可预测性。这一设计缺陷使攻击者得以逆向推导出私钥并完成资产转移。

报告显示，约九成被盗比特币尚未被移动，前三波攻击中涉及的币种仍停留在原始地址，为执法与安全团队提供了宝贵的监控窗口期。

Coinkite提醒用户，仅升级固件无法修复已有漏洞。必须在新版设备上重新生成种子，通过小额测试交易验证接收地址有效性后，方可逐步转移剩余资产。公司已销毁全部存在隐患的库存，并向所有支持设备推送经过验证的修补版本固件。