Coldcard黑客事件金额飙升至7500万美元，快通知你的朋友_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Coldcard黑客事件金额飙升至7500万美元，快通知你的朋友

2026-08-02 04:17:22

硬件钱包漏洞致7500万美元比特币被盗

硬件钱包本应是存放比特币最安全的地方。设备永不联网，私钥从不离开设备，关键在于攻击者必须物理持有设备才能窃取任何资产。

8月1日，Galaxy Research表示，已识别出与几天前盗空数百个Coldcard钱包的同一攻击者相关的第二波盗窃事件。该公司目前追踪到来自2673个地址的1158.66枚比特币，价值约7510万美元。而其在7月31日的初步统计为1196个地址中的1082.65枚比特币，这已是最初估计的594枚比特币的两倍。

攻击者从未触碰任何一台设备。

到底出了什么问题

漏洞存在于加拿大制造商Coinkite生产的Coldcard钱包固件中。设置硬件钱包时，设备会生成一个恢复种子（即控制比特币的单词串）。该种子本应来自硬件随机数生成器，产生128位熵值——一个数字大到计算上不可能被猜出。

但事实并非如此。据Block工程团队称，2021年3月1日的一次代码变更导致固件静默地回退到基于软件的生成器，而非硬件生成器。在Mk3设备上，有效搜索空间坍缩至大约40位。Coinkite已确认这一数字，并称其为初步结论。

128位与40位之间的差距并非程度上的差异。这是一把无法被撬开的锁与一把任何人都能用租来的云计算资源暴力破解的锁之间的区别。攻击者无需突破任何防线。他们离线重新生成可能种子，推导出地址，然后检查哪些地址持有比特币。

盗窃是如何进行的

Chainalysis发现，攻击者首先瞄准余额最大的钱包，在最初10分钟内盗走了超过3000万美元。大约25分钟内，约594枚比特币从约500个单签名钱包中转移。一名受害者损失约180万美元。

Galaxy将资金归集追踪到7月30日世界协调时1:10至1:51之间的41分钟窗口，分散在9个区块中。Coinkite的首份公开公告大约在30小时后发布。两波盗窃中所有被盗的比特币均来自2021年3月17日之后创建的钱包，这是将盗窃事件与固件版本关联的最有力证据。

无人能解释的部分

这些资金从未被移动。全部1158.66枚比特币仍以未花费状态分布在七个攻击者控制的地址中。Galaxy称，对于如此规模的盗窃案，这很不寻常，并提供了两种可能性：操作者正在等待监管热度消退，或者没有可行的方法来洗白如此显眼的一笔资金。

十年前，7500万美元的比特币会在几小时内通过混币器处理。如今，随着交易所合规要求收紧，以及Galaxy和Chainalysis等公司实时监控，转移资金反而成了最难的部分。

市场几乎没有反应

尽管比特币持有者中警报频传，但价格反应几乎为零。8月1日，比特币交易价格约为62,900美元，而前一交易日收盘价接近63,235美元，当周整体在低点6万美元区间徘徊。52周价格区间约为57,800美元至126,186美元，该资产在过去12个月内下跌约44%。

为何风险敞口比损失更大

确认的攻击波及了固件版本4.0.1至4.1.9的Mk2和Mk3设备。但Coinkite的公告进一步扩大范围：在修复版本发布之前，Mk4、Mk5和Q设备上生成的种子大约只有72位熵值，而非预期的128位。这远好于40位，且在此次盗窃中未被利用，但仍远低于标准水平。

在设置过程中添加了至少50次独立骰子投掷的用户不被视为存在风险，因为这种外部熵值无法被固件漏洞抵消。使用强BIP-39密码的用户同样安全。其他所有在受影响固件上生成种子的用户均面临风险。

Coinkite已发布修复固件，但附带了一个比补丁本身更重要的警告：更新固件并不能修复现有种子。用弱熵创建的种子将永远保持弱状态。受影响的用户必须在更新后的硬件上生成全新的钱包，并将其比特币转移过去。

给你的朋友打个电话

这是一个读者能做的最有用的事就是拿起电话的故事。硬件钱包用户，顾名思义，是那些认真对待自我保管、购买了专用设备并远离屏幕的人。他们中的许多人不会在周六刷新加密货币新闻动态。

如果你认识任何在Coldcard上持有比特币的人，今天就给他们发消息。询问他们使用的是什么型号，种子是在哪个固件版本下创建的，以及设置时是否使用了骰子投掷或密码。如果他们在受影响的固件上使用Mk2或Mk3生成了种子，并且没有使用上述两种方法，那么他们的比特币需要立即转移到一个新钱包，而不是下周。

此案的攻击者首先从余额最大的钱包下手。尚未被触及的是那些较小的钱包，而它们的持有者最不可能关注此事。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文