Coldcard被黑损失攀升 分析师估算存分歧

攻击者从遭入侵的 Coldcard 硬件钱包中窃取比特币已近两周，区块链调查人员仍在努力查明损失全貌。分析师将此次事件称为比特币历史上最严重的自我托管失败。损失估计在1亿至1.3亿美元之间，由于受害者需要自行报告，最终数字可能仍存不确定性。

调查人员对损失规模看法不一

Galaxy Research 由 Alex Thorn 领导，其高置信度最低值为1730 BTC，上限约1816 BTC。Thorn 告诉 Cointelegraph，超过450 BTC 已通过受害者报告直接确认，并由此识别出更多未知受害者，合计持有逾730 BTC。TRM Labs 独立估计，攻击者在四轮攻击中从超过5200个地址盗走约1816 BTC，其全球政策主管 Ari Redbord 警告称，这一数字还会上升。

CryptoQuant 采取更严格的基于披露的统计方式。研究主管 Julio Moreno 表示，平台确认的总额为1432 BTC，并称之为下限。“由于被盗比特币属于个人而非交易所等中心化实体，我们只能确认每个受害者公开披露的信息。”Moreno 说。

漏洞原理

漏洞源于2021年3月的一次固件变更，导致 Coldcard 的种子生成绕过了设备的硬件随机数生成器，转而使用一种可预测的软件函数，有效熵仅为40位而非预期的128位。这一缩减使得暴力破解密钥在无需物理接触设备的情况下即可实现计算可行性。自7月30日起，至少15个独立攻击者利用该漏洞，迅速从数千个单签名钱包中扫走资金。

比特币开发者 James O'Beirne 表示，他曾于2025年5月向 Coinkite 提及该随机数代码缺陷，比漏洞爆发早了14个月以上。根据 Phemex 的报道，Coinkite 当时的回应是，如果问题属实，大概早已显现。

善后与行业反应

Coinkite 于7月31日部署了修复固件，但警告称更新无法改善已生成种子的熵。受影响用户必须创建全新种子并迁移资金。公司还在8月6日至7日撤销了客户数据自动删除政策，理由是“正在进行和预期的法律程序”，尽管目前尚无公开诉讼。

这一事件重新引发关于自我托管与机构解决方案的争论。在 Bloomberg Crypto 上，Thorn 表示比特币将“挺过”此次攻击，并认为这是制造商失误而非协议缺陷。River 公司也呼应了这一区分：“Coldcard 漏洞不影响比特币协议或任何与比特币运作方式相关的东西。”

然而，这一事件推动资金流入交易所交易产品。现货比特币 ETF 在截至8月7日的一周内录得8.53亿美元净流入，为4月中旬以来最强单周表现。贝莱德的 iShares Bitcoin Trust 占据了其中大部分资金。

对仍在使用受影响设备的持有者，研究人员发出明确信息：仅更新固件不够。只有在确认已修补的固件上重新生成种子，才能确保剩余资金安全。