Coldcard 钱包固件漏洞可导致从 7,300 多台设备中窃取 $130M Bitcoin

Coldcard 硬件钱包旨在让 Bitcoin 保持离线并免受黑客攻击，但据区块链调查人员称，2026 年它却成为一起重大加密货币盗窃案的核心。此前于 2021 年 3 月悄然引入的固件漏洞，使攻击者能够从数千台设备中窃取价值超过 1.3 亿美元的 Bitcoin。该漏洞源于一行代码：它通过可预测的软件伪随机数生成器生成助记词，而不是使用设备专用的硬件随机数芯片，将密钥强度从 128 位降低至仅 40 位，使暴力破解攻击成为可能。至少 7,300 个钱包已在至少三轮有记录的攻击中遭到入侵。区块链分析公司 TRM Labs 追踪发现，相关活动至少涉及 15 个不同的威胁行为者，使其成为 2026 年记录在案的第三大加密货币盗窃案。

固件漏洞将 Coldcard 密钥强度降低至 40 位

据 The Block 的安全研究人员称，他们对该漏洞进行了调查。一项于 2021 年 3 月发布的固件版本通过可预测的软件伪随机数生成器生成助记词，而不是使用设备专用的硬件随机数芯片。这一缺陷留下了一个有限且可预测的潜在密钥池，拥有足够计算能力的攻击者可以完全离线地重现这些密钥，无需接触受害者的设备。

据相关事件报道中引用的安全评估显示，本应具备 128 位安全强度的密钥，实际熵值却被降低至仅 40 位。对于了解该漏洞的人来说，这一差距使暴力破解受影响的钱包成为可能。

Coldcard 背后的公司 Coinkite 发布公告，承认助记词生成存在弱点，并敦促受影响设备的所有者更新固件，将资金迁移至使用全新助记词生成的钱包。

攻击者分多轮窃取了 7,300 多个 Coldcard 钱包中的资金

Galaxy Digital 的研究团队确认，至少三场独立的攻击活动已从 7,300 个遭入侵的钱包中窃取加密货币，证据显示可能仍有第四轮攻击正在进行。

首轮攻击发生在 7 月 30 日前后，仅用 41 分钟就从 1,196 个地址中转走了约 1,083 枚 Bitcoin。到了第三轮攻击，攻击者开始清空每个仅持有几千美元资产的钱包，从 1,912 个地址中转走约 208 枚 Bitcoin，并将资金分散到不同的目标地址，而不是集中转入少数几个共用的归集钱包。

7 月 31 日首次确认的一起入侵事件涉及 594 枚 Bitcoin，按当时价格计算价值约 3,800 万美元，这帮助引发了更广泛的警报。Galaxy Research 随后证实，累计损失已超过 1,596 枚 Bitcoin，价值超过 1 亿美元。之后，Galaxy Digital 和加密货币监测公司 Elliptic 的独立估算将总额推高至超过 1.3 亿美元；Elliptic 联合创始人 Tom Robinson 表示，这一数字大致准确。

TRM Labs 确认攻击波次背后至少有 15 个威胁行为者

TRM Labs 的分析发现，不同攻击波次的攻击方法存在差异，表明至少有 15 个独立的威胁行为者参与其中，而非由单一协调组织实施。TRM Labs 指出，即使攻击策略逐波发生变化，大部分被盗加密货币仍集中在数量有限的攻击者控制地址中。

CertiK 分析师认为，部分规模较小且时间较近的交易甚至可能并非来自最初的攻击者。CertiK 一名代表表示：“我们认为这可能是一个规模较小的漏洞利用者。初始漏洞利用之后，可能出现了几个跟随者。”Dragonfly 管理合伙人 Haseeb Qureshi 补充称，某些 AI 模型在不到 20 分钟内就识别出了根本弱点，并估计价值约 2 美元的 AI 辅助安全测试本可以在事件发生前发现整个漏洞。

据 TRM Labs 称，Coldcard 钱包漏洞事件如今已成为 2026 年记录在案的第三大加密货币盗窃案，而这一年针对加密货币公司的独立黑客攻击已经超过 200 起，合计损失超过 9.5 亿美元。

被盗 Bitcoin 经 Wasabi 和 Tornado Cash 隐私协议转移

CertiK 对受影响资产的追踪发现，一个名为 Wasabi 的 Bitcoin 隐私增强协议收到了约 64 枚 Bitcoin，当时价值 417 万美元；与此同时，约 200 枚以太币、价值约 38 万美元的资金经由 Tornado Cash 转移。Tornado Cash 是一种长期被用于掩饰被盗加密货币资金来源的 Ethereum 混币服务。

这些隐私工具不会从区块链上抹去交易，但会让调查人员更难追踪资金最终兑现的位置。攻击者同时使用基于 Bitcoin 和 Ethereum 的混币服务，表明他们正在多条链上分散洗钱活动，而不是依赖单一的资金混淆路径。

漏洞事件后 Bitcoin 网络每日记录 980,000 笔交易

区块链情报服务商 Glassnode 记录到，漏洞利用事件发生后的几天内，Bitcoin 活跃地址数量激增，每日交易量升至约 980,000 笔，达到自 2024 年 12 月以来链上活动的最高水平。

Glassnode 将这次跃升描述为“一种运营安全响应，而不是市场信念的变化”。此前处于休眠状态的 Bitcoin 持仓突然活跃起来，其价值接近最初被盗金额的 200 倍，这清楚表明整个网络中的持有者正急于将资金转移到更安全的存储位置，而不是在对价格动能作出反应。

安全专家建议受影响用户完全更换硬件

网络安全专家警告称，对于已经在受影响设备上初始化钱包的用户来说，仅更新固件无法提供充分保护。他们的建议是：在安全硬件上生成一个全新的钱包，并立即转移全部资产，而不是寄希望于更新能够事后修复可能已经泄露的助记词。

Jonathan Goodman 表示，尽管遵循了所有建议的防范措施，他仍从自己的 Coldcard 钱包中损失了 160 万美元。Goodman 写道：“这件事最难接受的地方或许在于，我做对了一切。”他描述道，自己从未分享助记词，从未将设备连接到互联网，并将所有东西存放在多个保险箱和银行保险柜中。他说：“这一切都没有意义”，因为“最初生成助记词的硬件，其 2021 年的代码中有一行存在漏洞”。

常见问题

Coldcard 硬件钱包漏洞事件是由什么引起的？

2021 年 3 月引入的固件漏洞降低了助记词生成过程中的随机性，将密钥强度从 128 位削弱至 40 位，使针对受影响钱包的暴力破解攻击成为可能。

有多少个 Coldcard 钱包在此次漏洞事件中遭到入侵？

至少 7,300 个钱包已在至少三轮有记录的攻击中遭到入侵，有迹象表明可能仍有第四轮攻击正在进行。

Coldcard 漏洞事件中被盗 Bitcoin 的总价值是多少？

根据 TRM Labs 和 Elliptic 的数据，被盗 Bitcoin 的总价值超过 1.3 亿美元，使其成为 2026 年记录在案的第三大加密货币盗窃案。