2021年Coldcard固件漏洞仍在掏空比特币钱包_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

2021年Coldcard固件漏洞仍在掏空比特币钱包

2026-08-04 22:19:18

Coldcard固件漏洞持续引发比特币被盗，Coinkite紧急警告用户

2021年首次植入硬件钱包代码的Coldcard固件漏洞，至今仍与比特币被盗事件相关联。Coinkite于2026年8月2日发出警告称，该威胁依然真实存在且持续活跃，仅更新固件无法修复已在受影响版本上生成的种子。

这一漏洞已从早期被悄然修复的缺陷，演变为对比特币持仓的持续性威胁。Coldcard制造商Coinkite已通知受影响用户生成新种子并转移资金。该漏洞仍在持续被利用，Coldcard正敦促用户尽快转移比特币。

关键信息

2021年3月的代码变更使受影响固件版本上的Coldcard种子生成变得可预测，而更新固件无法修复已在此类版本上创建的种子。Coinkite表示盗窃行为仍在持续，受影响用户必须生成新种子并转移资金，而非仅依赖固件更新。

2021年Coldcard固件漏洞详情

根据Block安全团队的技术分析，该漏洞可追溯至2021年3月1日的一次代码提交，该提交首次出现在2021年3月17日发布的固件v4.0.0版本中。此次变更导致ngu.random函数回退至MicroPython的确定性Yasmarang随机数生成器，而非使用STM32硬件随机数生成器。

正是这一回退路径使漏洞变得危险。当设备使用可预测的随机源生成种子时，攻击者可以重构生成的私钥，这意味着该种子保护的比特币从一开始就并非真正私密。

受影响范围

Coinkite在2026年7月30日的警告中明确了受影响用户群体：Mk2和Mk3设备在固件版本4.0.1至4.1.9（含）上生成的种子存在风险；Mk4、Mk5和Q设备在其各自修复版本发布前生成的种子也受影响。

在未受影响固件上生成种子，或导入其他来源种子的用户，则不属于受影响范围。该风险仅与在易受攻击代码上生成的种子相关，而非持有Coldcard设备本身。

为何旧漏洞仍在持续消耗钱包资金

2021年的漏洞在2026年仍造成损失的原因在于，补丁无法撤销弱种子。Coinkite在2026年8月2日的更新中表示，已修复的固件可防止新生成的种子受影响，但无法修复已在易受攻击固件上创建的种子。

这些预先存在的弱种子正是攻击者当前的目标。根据2026年8月2日的报告，2026年7月30日的首次攻击在短短41分钟内从1196个地址中窃取了1083枚比特币，这是一系列协同攻击的起始行动。

盗窃行为并未止步。在三次攻击浪潮中，攻击者从4585个地址中盗取了1367枚比特币，其规模表明攻击者能够随意重新生成密钥，而非逐个攻破设备。

损失可能进一步扩大。根据CoinDesk引用的Galaxy Research未经确认的统计数据，截至8月3日至4日，可能的第四次攻击使累计损失增至约1816枚比特币（约合1.14亿美元），涉及超过5200个地址。不过Coinkite尚未公布最终的官方损失总额或事后分析报告。

此次盗窃事件已显著改变了持有者的行为模式。CryptoQuant数据显示，8月1日，每日低于10枚比特币的小额比特币转账至交易所的存款量飙升至7300枚比特币，持有者为安全起见转移资金。然而，尽管漏洞仍在活跃，更广泛的市场保持稳定。8月4日，比特币交易价格约为63800美元，现货市场数据显示日涨幅为1.86%，价格约为63888美元。

不过，市场情绪已恶化。恐慌与贪婪指数降至25，处于"极度恐惧"状态，该事件波及数千个地址，被报道为针对超过1000个比特币地址的攻击。

Coldcard及比特币钱包用户应采取的应对措施

对于受影响用户，Coinkite的指引明确：在已修复的固件上生成新种子，并将资金从种子在易受攻击版本上创建的任何钱包中转移。仅进行固件更新无法改变弱种子仍可被利用的事实。

检查您的固件版本是否在受影响范围内，包括Mk2和Mk3设备的4.0.1至4.1.9版本。如果您的种子是在受影响固件上生成的，请在已修复的版本上创建新种子，并将比特币转移至新钱包。即使更新固件后，也不要重复使用或信任旧种子，更新无法追溯性地保护它。保留物理设备而非丢弃，因为Coinkite表示其法律团队可能与执法部门协调，并要求受影响用户不要处置硬件。

Coinkite还表示已停止发货并销毁了剩余的易受攻击库存，这些措施针对新设备，但无法解决已流通的种子问题。因此，对于任何当前的Coldcard持有者而言，验证种子生成的方式和时间（而非仅检查设备当前运行的固件版本）是决定性的检查步骤。

截至8月4日，Coinkite尚未发布其承诺的正式技术事后分析报告，因此最终损失归属和完整官方时间线仍可能发生变化。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文