web3: Coldcard漏洞致比特币被盗约1.16亿美元

比特币硬件钱包品牌 Coldcard 近日曝出严重安全事件。链上分析显示，自上周四以来，攻击者已分四轮转走约 1816 枚比特币，按发稿时价格计算价值接近 1.16 亿美元，受影响地址超过 5200 个。

Coldcard 由加拿大科技公司 Coinkite 推出，主打离线保存私钥的冷存储。这类设备原本被视为长期持币者较安全的保管方式，但此次事件显示，其钱包助记词生成流程存在缺陷，攻击者无需接触设备本体，也可能恢复钱包并转走资产。

漏洞源于 2021 年更新

据金融科技公司 Block 旗下比特币工程与安全团队披露，问题出在 Coldcard 2021 年一次软件更新。更新后，设备在生成钱包恢复助记词时，没有继续使用足够强的随机机制，而是采用了带有可推测模式的流程。

助记词通常由一组随机单词组成，用于恢复钱包私钥。一旦生成过程可被复制，攻击者就能在自己的设备上复现同样的路径，批量猜测可能的助记词，再验证哪些组合能够打开真实钱包。

四轮转移波及逾 5200 个地址

Galaxy Research 的链上分析显示，7 月 30 日首次大规模转移发生在 41 分钟内，共有 1196 个地址被清空，损失略高于 1083 枚比特币，约合 7020 万美元。

随后一天，更多追踪结果显示，早期损失中有相当一部分来自一次集中转移：约 500 个单签钱包在 25 分钟内被扫走约 594 枚比特币，价值约 3800 万美元。第三轮转移发生在上周五中午至周六早间，涉及 1912 个地址，损失约 208 枚比特币。到本周一早间，调查人员又发现第四轮盗窃，总损失被推高至约 1816 枚比特币。

• 已确认受影响地址：超过 5200 个
• 已统计被盗金额：约 1816 枚比特币
• 按文中口径估值：接近 1.16 亿美元

Coinkite敦促用户转移资产

事件曝光后，Coinkite 发布公开信，强烈建议曾使用 Coldcard 设备生成钱包种子的用户尽快转移资产。公司在社交平台表示，过去三天是其历史上最艰难的时期之一。

目前，攻击者身份仍未明确。报道提到，近年多起大型加密盗窃曾被归因于朝鲜或俄罗斯相关黑客组织，但截至目前，调查人员尚未将本次事件与任何特定主体直接关联。

这起事件也再次引发关于自托管与中心化托管的讨论。尽管部分用户仍支持自行保管私钥，但也有人认为，这次漏洞暴露出硬件钱包并非绝对安全，可能促使更多资金转向 Binance、Coinbase 等中心化平台。

从市场表现看，事件并未引发主要加密资产剧烈波动。自上周四以来，比特币和以太坊整体跌幅均不到 1%。不过，对硬件钱包安全性的冲击，可能在后续一段时间持续影响用户托管选择。