在一场重大 Coldcard 硬件钱包漏洞攻击中，被盗的大部分比特币至今仍未被动用，而区块链研究人员仍在继续追踪相关资金。Galaxy Research 目前将 1,789.28 枚 BTC 归因于此次攻击，案发时价值约 1.147 亿美元。

最新估算覆盖 8,865 个受影响地址。研究人员确认，攻击者尚未转移 1,561 枚 BTC，即被盗资金的 87.3%。这部分比特币仍存放在据信由攻击者控制的地址中，其中包括前三轮盗窃所得的资金。

盗窃背后的漏洞

此次攻击利用了 Coldcard 固件中一个可追溯至 2021 年的缺陷。Coldcard 是由 Coinkite 制造的比特币专用硬件钱包，被大量自托管用户广泛使用。本案的特殊之处在于，失陷发生在设备内部的种子生成阶段，而非钓鱼攻击等用户操作失误所致。该缺陷削弱了生成某些钱包种子时所使用的随机性（即熵）——种子是钱包私钥派生所依据的主密钥。这使攻击者无需实际接触用户的设备即可重建存在漏洞的私钥，从而打破了“离线生成并保存的密钥不会落入攻击者手中”这一假设。

首轮大规模扫荡始于 7 月 30 日，在几分钟内便从受影响钱包中转移了超过 1,000 枚 BTC。随后又发生多轮攻击，使估计损失突破 1 亿美元。

安全研究人员表示，该漏洞主要影响某些单签名钱包——即由单个密钥控制而非采用多重签名设置的钱包。Coldcard 敦促受影响用户生成新种子并转移其比特币，并指出仅仅更新固件无法修复已被入侵的钱包。

追踪被盗比特币

尽管大部分被盗比特币仍处于静止状态，攻击者已开始转移部分资金。Galaxy 报告称，后续几轮盗窃所得的部分比特币经过了 CoinJoin 交易——即汇集多名用户的币款、以混淆各笔输入归属的协作式交易——以及剥离链（peel chain，即通过连续转账逐步拆分资金以增加追踪难度）等手段，此外还采用了其他旨在加大资金追踪难度的技术。

Galaxy 更新后的评估还参考了 221 份受害者报告，涉及 790.72 枚 BTC。报告损失的中位数为 1.04272 枚 BTC，这意味着超过半数报告涉及的损失超过 1 枚 BTC。

研究人员已将确认的攻击者地址分享给加密货币交易所、合规机构以及执法部门，目标是帮助识别这些资金，并在其最终流入中心化平台时予以冻结。以往案例表明，这一过程可能耗时漫长且影响重大：2016 年 Bitfinex 遭黑客攻击被盗的约 120,000 枚比特币在五年多时间里基本未被动用，直到 2022 年美国当局才查获了其中大部分赃款。

目前，大量未转移的比特币为调查人员提供了监控区块链的宝贵机会。然而，如果攻击者加快洗钱步伐，这些资金的追踪难度可能会加大。