Coldcard漏洞持续威胁：用户须紧急迁移比特币资产

核心提要：Coldcard制造商Coinkite再次警告用户，其部分设备在特定固件版本下生成的比特币种子仍面临被攻击风险。尽管已发布修复版本，但仅更新固件无法挽回已暴露的密钥，用户必须立即生成新种子并转移资金以避免损失。

Coinkite再发警报：受困固件生成的比特币种子仍存泄露风险

针对近期持续存在的安全威胁，Coldcard官方于2026年8月4日再度发出强烈提示，要求所有受影响设备用户尽快执行资金迁移操作。当前漏洞尚未关闭，部分Mk3、Mk4、Mk5及Q型号设备仍在使用存在缺陷的固件版本，导致生成的私钥具备可预测性。

漏洞未解：旧种子仍处于高危状态

该安全问题并非历史遗留事件，而是仍在活跃中的攻击向量。根据2026年7月30日发布的公告，运行固件4.0.1至4.1.9（含）的Mk2与Mk3设备所创建的种子，其熵值已被削弱，极易被逆向破解。即便后续升级至修复版本，先前生成的种子依旧暴露在风险之中。

核心防护逻辑：种子即控制权

钱包种子是访问全部资产的唯一凭证，一旦泄露，相当于完全失去对账户的掌控。Coinkite强调，任何通过非独立随机手段（如低熵生成流程）创建的种子均可能已被攻破。目前尚无确凿证据表明攻击者是否已大规模提取资金，但已有超过1,000个地址被标记为异常活动节点。

受影响设备范围及例外条件

除早期的Mk2/Mk3外，运行旧版固件的Mk4、Mk5和Q系列设备同样存在风险，尽管其熵值受损程度较轻。然而，若用户采用至少50次独立且私密的物理骰子投掷方式生成种子，或使用强且唯一的BIP-39密码短语，则被视为免于风险。

修复路径与应对措施

官方建议用户安装对应修复固件——Mk2/Mk3需升级至4.2.0及以上，Mk4/Mk5至5.6.0以上，Q系列则为1.5.0Q及以上。但必须明确：更新固件仅为防止未来风险，无法挽救已生成的敏感种子。唯一有效方案是创建全新种子，并将资金转移至新钱包。

Coinkite已于2026年8月2日宣布销毁所有搭载易损固件的库存，并暂停出货。公司表示将协同多国执法机构追踪相关行为，同时保留法律追责权利。