Coldcard漏洞致1.3亿美元损失，比特币大迁徙引发安全重审

核心提要：Coldcard硬件钱包因2021年固件缺陷遭攻击，导致近2100枚比特币被盗，约23.3万枚比特币从长期持有者账户流出。事件暴露了自我托管中的潜在风险，推动用户加速转向多重签名等更安全方案。

Coldcard钱包安全漏洞引发大规模比特币资产转移

一起针对Coldcard硬件钱包的严重安全缺陷被证实造成近1.3亿美元经济损失，攻击者通过持续渗透手段窃取约2100枚比特币。该漏洞自7月下旬曝光以来，成为比特币生态中影响最深远的硬件钱包事件之一，触发了大规模资金撤离潮，并促使行业重新审视去中心化存储的安全边界。

固件缺陷致私钥强度骤降，攻击者逐个锁定目标

此次受波及的设备由加拿大企业Coinkite开发，是一款主打离线操作与气隙防护的硬件钱包，广泛用于用户自主管理比特币私钥。链上分析揭示，漏洞根源可追溯至2021年3月引入的一处固件设计缺陷，该缺陷迫使设备依赖弱随机数生成器构建私钥，绕开了原本应起保护作用的硬件安全模块。这一异常使私钥安全性从标准的128位锐减至约40位，极大提升了暴力破解的成功概率。

攻击行为分三阶段展开，针对已知易受攻击地址进行系统性扫描与资金提取。根据Galaxy Research数据，至少5200个地址遭到侵入，共转移1596枚比特币，部分估算认为实际被盗数量接近2100枚。

Coinkite已紧急发布警示，呼吁所有使用固件版本4.0.1至4.1.9（覆盖2021年3月至2026年7月）创建种子短语的用户立即视其为高危状态，并尽快将资产转移至可信环境。

链上流动加剧：长期持有者大规模资产迁移

Checkonchain与Glassnode等平台数据显示，事件发生后数日内，约23.3万枚比特币（按当前市价约合150亿美元）从长期持有者钱包中被转移，标志着市场对自我托管策略的深度反思。

Casa首席执行官Nick Neuman在与用户的沟通中指出，此次迁移不仅限于Coldcard用户，还包括大量使用Ledger、Trezor等其他硬件钱包的个体。为应对风险，众多用户主动升级安全机制，普遍采纳多重签名架构，以实现交易需多密钥共同授权，从而形成对单一设备失效的缓冲层。

指标 | 数量 | 来源
从Coldcard钱包被盗的比特币 | 2100 BTC | 链上数据、Galaxy Research
转移到交易所的比特币 | 22,000 BTC | Checkonchain
从长期持有者转移的比特币 | 233,000 BTC | Checkonchain、Glassnode
长期持有者供应量下降 | 1.38%（约23.3万BTC） | Glassnode

长期持有者持有的比特币总量因此减少约1.38%，由接近1500万枚降至约1470万枚，创下自2024年12月以来最大单周降幅。尽管出现显著流出，分析师普遍认为这是主动风险管理的体现，而非被动恐慌，反映出用户在面临威胁时具备快速响应能力。

自我托管韧性凸显：去中心化防御机制显现成效

此次事件再次验证了去中心化资产管理在抵御系统性风险方面的优势。与中心化交易所一旦遭入侵即可能瞬间清空全部用户余额不同，Coldcard攻击呈现缓慢、分散特征，为用户提供了关键的预警窗口期。

Nick Neuman在社交平台表示：“链上数据清晰显示，警报发出后，成功转移的资金规模是被盗金额的10至100倍。”他强调，这恰恰证明了自我托管赋予网络整体的抗压能力。相比托管型机构一旦出事便难以挽回，此类事件反而强化了去中心化架构的价值。

他进一步指出，该事件犹如一盏醒目的霓虹灯，照亮了自我托管在保障比特币资产完整性方面所扮演的关键角色。许多用户借此契机部署多重签名系统，以构建更坚固的防御体系。

目前，业内仍在评估残余风险，强烈建议所有疑似受影响的Coldcard用户立即完成资产迁移。此事件亦催生关于硬件钱包安全标准、固件更新流程透明度以及终端用户教育机制的广泛讨论，旨在防范未来类似漏洞的发生。