Coldcard漏洞致1亿美元比特币被盗，混币器成追赃障碍

核心提要：CertiK披露，约417万美元比特币与38万以太坊被转移至Wasabi和Tornado Cash混币协议。事件源于2021年固件漏洞，导致密钥强度降至40位，累计损失或达1.3亿美元。

Coldcard漏洞引发大规模资产外流，混币技术阻碍追查进程

区块链安全机构CertiK最新报告指出，与Coldcard硬件钱包漏洞相关的资金转移已造成重大影响，约417万美元比特币（约合64枚）及价值38万美元的200枚以太坊被转入隐私保护型混币服务。

资金通过单笔交易进入匿名网络

数据显示，被盗比特币源自地址bc1q0，于周二经由一笔链上交易被发送至Wasabi混币器。次日，另一批200枚以太坊被注入Tornado Cash系统。该行为表明攻击者正利用去中心化混币工具切断资金路径，极大提升追踪难度。

攻击波次呈现多源特征，潜在损失持续扩大

Galaxy Digital评估称，本次攻击分三轮实施，总计盗取至少1亿美元比特币，波及约7300个钱包。另有迹象显示第四波攻击仍在进行，可能使总损失攀升至1.3亿美元。

TRM Labs链上分析显示，多数被盗资产仍集中于攻击者持有的多个地址中，仅少数完成初步混淆操作，尚未大规模进入混币平台。

攻击阶段	预估损失	受害钱包数	混币活动状态
第1-3波（已确认）	1亿美元BTC	7,300	有限
疑似第4波	额外3000万美元BTC	未披露	持续进行中

每轮攻击表现出显著不同的交易模式，暗示存在至少15名独立作案主体，均利用同一固件缺陷展开行动。

核心漏洞源于长期存在的种子生成缺陷

TRM Labs揭示，此次事件的根本原因可追溯至自2021年3月以来存在于Coldcard固件中的安全缺陷。该问题削弱了种子短语生成过程中的随机性，致使私钥强度从标准128位骤降至40位，使远程窃取成为可能。

Galaxy Digital补充指出，不同攻击批次在交易构造上的差异反映出漏洞知识在时间维度上的逐步扩散。

低成本防护手段本可避免危机

Dragonfly投资合伙人Haseeb Qureshi表示，仅需每台设备约2美元的升级成本即可修补该漏洞。他引用研究称，部分人工智能模型在20分钟内即能识别出该风险点。

“2美元的人工智能加固”足以防止此次事件，凸显自动化安全检测在数字资产防御体系中的关键作用。