Coldcard漏洞致1.3亿美元比特币被盗，加拿大成重灾区

核心提要：Chainalysis与Galaxy Research联合披露，Coldcard硬件钱包因长期存在的熵值缺陷，导致超过1.3亿美元的比特币被盗。加拿大成为最大受害地区，占总损失25%。攻击者利用旧版本固件中的随机数生成漏洞，持续发动多波攻击。目前执法机构已介入追踪，但多数被盗资金仍滞留在攻击者钱包中。

Coldcard冷钱包漏洞引发全球性比特币资产流失，总损失逼近1.3亿美元

Chainalysis最新发布的分析报告揭示，自2026年初爆发的Coldcard冷存储漏洞事件，已造成逾1.3亿美元的比特币资产被非法转移。该事件中，加拿大用户承担了最大比例的经济损失，占比高达25%，成为受影响最严重的国家。这一数字为迄今可追踪到的单一地理区域最高份额。

加拿大成主要受害地，链上归因数据揭示跨国影响格局

根据链上聚类技术与链下身份映射相结合的方法，Chainalysis识别出多个集中于加拿大的高风险地址群组。这些钱包在攻击期间共同消费了大量比特币，被推定归属于同一实体或群体。此外，澳大利亚、美国和泰国也出现在归因地图上，显示此次攻击具有跨区域扩散特征。尽管公司明确指出其数据为“最大可能值”而非精确统计，但其结论仍为行业提供了关键线索。

Galaxy Research监测：四波攻击持续演进，潜在损失逼近2055枚BTC

Galaxy Research数据显示，本次事件涉及约7,300个受损钱包，累计确认损失达1,596枚比特币，价值超1亿美元。攻击分为三轮大规模行动及14次小型突袭，第四波仍在评估阶段。若最终确认，总被盗量可能攀升至2,055枚比特币，对应市值接近1.3亿美元。值得注意的是，被盗资产平均休眠期长达3.18年，表明受害者多为长期持有者。约90%的赃币仍滞留在攻击者控制的钱包中，为未来追回创造了可能性。攻击模式从初期有组织行为转向后期碎片化、机会主义抢夺。

Coinkite紧急响应：发布固件修复并推动用户迁移

Coinkite公司在漏洞曝光后迅速启动应急机制，通过官方渠道发出紧急通知。其建议用户立即执行四项操作：核对设备型号对应的公告内容；升级至最新固件版本；在新固件环境下生成全新种子；将旧种子关联的钱包资金转移至安全账户。此外，鼓励受害者共享被侵入地址信息以协助溯源。根本原因追溯至2021年3月的固件设计缺陷——错误使用软件级随机数生成器，使Mk2/Mk3机型熵值降至约40比特，而更新型号如Mk4亦受波及，熵值仅约72比特，远低于预期的128比特标准。公司已全面召回受影响库存，并公开完整技术复盘报告。

行业反思：自托管风险凸显，混合模式或成最优解

币安联合创始人赵长鹏在近期评论中强调，尽管交易所事件通常能快速响应，但自托管资产的损失往往长期未被披露。他援引2025年River研究报告指出，自托管方式累计损失157万枚比特币，略高于交易所的151万枚。他表示，币安在过往事件中已实现用户赔偿，因此建议普通持币者采用混合托管策略，兼顾安全性与便捷性。此观点紧随Coldcard事件更新，后者将总损失推升至1.3亿美元级别，再次警示冷存储并非绝对安全。

执法协作推进：数百个攻击地址已被标记，追回路径初现

当前调查已进入协同攻坚阶段。Galaxy Research已将数百个可疑攻击地址移交联邦调查局、主流交易所及网络安全部门。多方合作有望提升资金返还效率。然而，由于固件修复仅适用于未来生成的新种子，所有基于旧种子创建的钱包依然处于暴露状态，直至完成官方迁移流程。此次事件再次证明，潜伏多年的代码缺陷足以颠覆冷存储的安全假设，提醒用户持续关注设备维护与安全更新。