Coldcard漏洞致超1亿美元损失，比特币为何不跌反涨？

核心提要：Coldcard硬件钱包因固件缺陷导致数万用户密钥可被预测，累计损失逼近1.16亿美元。然而比特币价格未受冲击，反而回升至64,000美元以上。市场反应与技术漏洞形成鲜明对比，背后是资金未离场、机构抛售压力更甚于漏洞本身。

Coldcard漏洞引发的持续性资金外流：一场无声的数字收割

在首次大规模攻击五天后，原本被视为孤立事件的Coldcard安全问题已演变为长期、分阶段的资金提取行动。区块链追踪数据显示，截至周一，累计流出金额已接近1.14亿美元。尽管损失规模惊人，但市场并未出现预期中的价格崩盘，比特币在周二亚洲时段反弹至63,000美元上方，并一度触及64,100美元，当日涨幅约2%。

漏洞根源深藏于种子生成环节，非外部入侵

此次危机并非源于网络钓鱼、恶意软件或物理接触设备，而是发生在每个钱包诞生的初始阶段。Coldcard固件在生成恢复短语时依赖一个随机数函数，该函数存在两个实现版本——一个为STM32芯片定制的硬件生成器，另一个为从MicroPython继承的软件备用方案。

构建系统仅检查是否启用了该功能，却未验证其实际使用状态，导致大量设备在无预警情况下默认采用软件生成路径。由此产生的恢复种子虽符合标准格式并通过常规测试，实则缺乏足够熵值，具备可被逆向推导的潜在风险。

分析指出，若攻击者能掌握设备唯一标识、计时器状态及历史调用序列，即可在离线环境下复现输出流，而无需接触实体设备。该变更最早追溯至2021年3月1日的一次提交，并随固件4.0.0发布，意味着部分设备在过去五年中始终处于可预测状态。

三轮扫荡叠加第四波，总损失逼近1.16亿美元

不同机构对损失数据的统计口径各异，使实时评估充满变数。

首波攻击发生于7月31日凌晨，约594枚比特币（约3800万美元）在25分钟内从约500个地址被盗，由Coinkite与Chainalysis联合披露。随后Galaxy Research发现更大规模行动，1,196个地址共损失约1,082.65枚比特币（价值约7020万美元），耗时41分钟。

周末第二轮袭击后，截至周一，三波合计损失达1,367枚比特币（近8900万美元），涉及约4,585个地址。每轮攻击中平均单地址损失呈下降趋势，表明攻击者优先清理大额账户，再转向小额钱包。第四波延续至周一，从709个地址中盗走约449枚比特币，目前尚无法确认是否由同一主体操作。

综合多方估算，当前可观测损失介于1.14亿至1.16亿美元之间，全部源自本应杜绝此类风险的硬件设备内部缺陷。

受影响设备范围扩大，更新无法补救历史漏洞

Coinkite最初声称Mk4、Mk5及Q型号不受影响，但后续修正公告显示，问题涵盖所有运行固件4.0.1至4.1.9的Mk3设备，且包含这些型号在升级前生成的旧种子。

关键结论明确：固件更新无法修复已生成的弱种子。由于熵一旦缺失便不可追加，唯一解决方案是立即升级设备，重新生成全新种子，完成验证后再迁移资金。

Trezor与Ledger已确认自身产品未受此漏洞波及，进一步凸显问题的特定性。

AI工具或成攻击利器，防御方面临新挑战

Coinkite公开表示，极有可能是攻击者利用了人工智能模型扫描开源代码库，才发现了这一隐蔽缺陷。公司坦言，其自身也曾用先进模型检测代码，但未能识别出该漏洞。

这揭示了一个深层现实：如今攻击者与防御方拥有同等工具，但前者只需一次成功应用即可获利，而后者需全面覆盖所有可能路径。

另据调查，攻击者使用某知名区块链服务提供商的付费账户执行大量查询，请求看似正常。相关线索已被移交监管机构，以追踪行为轨迹。

比特币坚挺背后：市场情绪未崩，机构抛压更重

尽管冷钱包遭劫，比特币价格却逆势走强，核心原因在于资金未真正退出流通领域，且市场整体未陷入恐慌。

期权市场表现平稳，30天隐含波动率连续多日稳定在37%左右。Deribit上最活跃合约集中于看涨期权，行权价分别为68,000美元和70,000美元。现货层面亦呈现分化：以太坊基金小幅流入，而比特币基金出现净流出，这种结构在以往由BTC主导的行情中极为罕见。

更值得关注的是，策略公司周一披露，其在7月27日至8月2日期间出售1,638枚比特币，套现约1.05亿美元，平均售价63,957美元，低于其75,419美元的成本基础。所得资金用于支付优先股股息及回购股票，而非增持比特币。目前持仓降至842,138枚，且已连续五周未购入任何新币。

这一财务行为释放出比钱包漏洞更强的需求疲软信号。

持有者应吸取三大核心教训

第一，验证必须前置。重大漏洞往往出现在创建阶段，而该环节用户难以事后审查。建议采用可验证流程生成种子，或通过多品牌设备分散风险。

第二，单一供应商依赖即为系统性风险。首波攻击中，约500名用户因共享同一流水线而集体受损，暴露供应链集中隐患。

第三，客观看待数字。TRM Labs数据显示，2026年上半年共发生207起独立事件，创历史新高，但总损失仅9.72亿美元，不足2025年上半年23亿美元的一半。本次事件严重性源于破坏机制，而非整体规模。

未来关注点：支撑位与监管动向并重

短期关键心理关口为63,000美元，该水平三天内两次失守又收复，第三次跌破将削弱62,500美元支撑有效性。

除价格走势外，两大因素将决定后续影响：一是消费者保护或金融监管机构是否会介入，从而界定硬件钱包的法律属性；二是Galaxy Research能否确认第四波攻击是否由原操作者主导，还是由模仿者基于公开研究跟进实施。