Coldcard漏洞致超1.5万枚比特币被盗，调查指向第四波攻击

核心提要：Galaxy Research披露，Coldcard硬件钱包因固件缺陷导致约1,596枚比特币被盗，若第四波攻击确认，损失或达2,055枚。目前多数资金未转移，专家建议立即更换种子并升级固件。

冷卡钱包漏洞引发大规模比特币资产外流，链上追踪持续深入

根据Galaxy Research的最新评估，已确认的三波攻击中，与Coldcard硬件钱包种子生成漏洞相关的损失已达1,596枚比特币；若后续第四波攻击被证实，总损失可能攀升至约2,055枚，市值接近1.3亿美元。

链上异常活动揭示潜在第四波攻击迹象

尽管尚未获得受害者明确验证，但分析师已识别出疑似第四波协同攻击模式。该波次主要由单一操作者实施，链上行为高度吻合此前攻击特征，置信度处于中高水平。初步估算涉及约709个地址，被盗金额约为448.7枚比特币，但具体影响范围仍待进一步确认。

研究主管Alex Thorn于8月3日首次发现相关交易模式，其后持续追踪并更新数据。然而，仅凭链上信息无法完全确定所有受害方，也无法排除多主体协作的可能性。调查团队正结合多方反馈，完善地址归属图谱。

漏洞根源可追溯至2021年固件集成变更

此次安全事件源于Coldcard Mk3、Mk4、Mk5及Coldcard Q设备在特定固件版本中采用错误的种子生成机制。Coinkite披露，该问题始于2021年3月引入新加密库时，系统误用MicroPython提供的伪随机生成器替代了应有的硬件真随机数源。

技术审查表明，硬件熵源虽在其他功能模块中正常运作，却未被用于钱包创建流程。独立审计结果一致确认此缺陷。据估计，受影响的Mk2/Mk3设备有效熵仅约40位，而Mk4/Mk5及Coldcard Q型号则为72位，远低于标准128位要求，严重削弱密钥安全性。

九成被盗资产仍处锁定状态，追回窗口尚存

调查显示，前三个已确认攻击中，超过90%的被盗比特币自盗取以来未发生任何移动，为执法机构和交易所提供了宝贵的监控时机。当前，调查团队已与美国联邦执法部门、主流交易所及网络情报组织共享关键地址列表，以强化实时响应能力。

在第四波疑似攻击期间，每区块钱包扫描频率从原先的平均0.3次飙升至约13.8次，反映攻击者加速探测脆弱设备。多数被盗资金被转入新生成地址，并通过二次跳转增加追踪难度。尽管“替换手续费”机制允许用户在矿工确认前尝试覆盖未完成交易，但该方法存在时效性限制且无法确保资金追回。

建议受影响用户尽快将资金迁移至新钱包，并在已修复固件的设备上重新生成种子。

固件更新无法挽回旧种子风险，需全面重置

Coinkite已发布紧急固件补丁，涵盖Mk2/Mk3（4.2.0版）、Mk4/Mk5（5.6.0版）、Coldcard Q（1.5.0Q版）以及Edge系列（6.6.0X/6.6.0QX）。公司同时销毁全部含易损固件的库存产品。

值得注意的是，固件更新仅保障未来创建的钱包安全。使用旧版本生成的种子短语仍面临被破解风险，必须立即更换。推荐用户在更新设备后，通过全新种子创建钱包，先进行小额测试交易验证接收功能，再逐步转移剩余资产。

此外，使用至少50次公平骰子投掷方式生成的钱包不受此漏洞影响。尽管强密码短语能增强防护，但原始受创种子本身仍具脆弱性，强烈建议执行迁移操作。