Coldcard 固件漏洞引争议：1800 BTC 被盗传闻未证实

核心提要：Coldcard 固件更新引发关注，尽管官方确认存在种子生成缺陷并发布修复版本，但关于是否发生大规模比特币盗窃仍存分歧。crypto.news 称有1816 BTC被盗，而 CryptoBriefing 强调需链上证据或公司声明才能定论。

Coldcard 固件更新暴露长期安全缺陷，资金损失争议持续发酵

Crypto.news 与 CryptoBriefing 对 Coldcard 固件问题的报道出现关键分歧，尤其在是否存在实际资金被盗方面立场迥异。

多方确认固件修复与核心缺陷

Coinkite 已正式推出 Mk4 与 Mk5 设备的固件 5.6.1 版本，以及 Q 型号的 1.5.1Q 版本，强制要求用户在生成助记词时主动注入外部熵源，如按键操作、掷骰或抛硬币。

该漏洞根源可追溯至 2021 年 3 月的固件升级（版本 4.0.1），其改变了种子生成机制，导致部分设备熵值严重下降。

受影响用户被建议立即创建新钱包并转移资产，避免重复使用原有种子，以规避潜在风险。

其中，旧款 Mk2/Mk3 设备受影响最深，其有效熵值降至约 40 位，而较新型号影响相对有限。

此次更新还一并修复了交易签名异常及备份流程中的若干技术瑕疵。

媒体报道存在显著差异

1. 资金是否已被窃取

Crypto.news 在 2026 年 8 月 20 日晚间披露，攻击者利用种子生成漏洞，已成功从相关钱包中提取约 1,816 枚比特币，估值介于 1.14 至 1.16 亿美元之间。

然而，CryptoBriefing 于次日发表观点，指出仅凭推测无法认定资金流失，必须依赖链上交易记录显示对应地址出现资金外流，或由 Coinkite 官方发布正式声明予以确认。

2. 漏洞利用时间窗口与热修复响应

Coldcard 官方在 8 月 20 日公告中表示，本次发布的固件是基于 7 月 31 日紧急修复方案，在三周审查后推出的最终版本，旨在解决特定固件版本下种子短语生成不完整的问题。

Crypto.news 引述信息称，攻击行为早在 2026 年 7 月 30 日即已启动，而 Coinkite 于次日发布热修复，但损失已在短时间内累积至不可忽视程度。

CryptoBriefing 则未采信此时间线，强调需等待 Coinkite 发布详细的安全事件报告，明确说明 7 月 30 日至 31 日期间是否存在主动利用行为，方可形成结论。

当前状态与审慎判断

固件版本更新、熵值修复机制及迁移建议已成既定事实；但在 Coinkite 公开完整事件说明或链上数据验证前，不应将 1.14 亿美元或 1,816 BTC 的损失金额视为确凿信息。