Coldcard比特币硬件钱包的固件漏洞使攻击者能够在三波协同攻击中，从超过4,500个冷存储地址中转走至少1,367枚BTC——按当前价格计算价值约8,600万美元。该攻击无需物理接触任何设备；攻击者利用数学方法从零开始重建私钥。Coldcard由总部位于多伦多的Coinkite制造，因其气隙隔离设计和安全至上的声誉，备受比特币自主托管倡导者的青睐，这使得此次泄露的规模对硬件钱包领域具有特别重要的意义。

Galaxy Research said its Bitcoin on-chain analysis identified three suspected attack waves targeting addresses generated by Coldcard, involving 4,585 addresses and a total of 1,367.05 BTC… pic.twitter.com/JdSz4W1TIk — Wu Blockchain (@WuBlockchain) August 1, 2026

此次入侵直接打击了比特币自主托管的核心前提：离线存储的私钥应该是无法触及的。这次攻击表明，以不充分的随机性生成的密钥既无法做到不可触及，也无法做到不可猜测。比特币透明的公共账本放大了这种危险——由于所有地址在链上都是可见的，攻击者可以实时检查候选密钥与实际余额的匹配情况，这一特性使得熵值故障与不透明的金融体系相比具有独特的可利用性。

该事件发生在BTC交易价格约为62,250美元之际，当日下跌1.4%，同时有传言称Michael Saylor可能出售更多比特币持仓，且CLARITY Act截止日期临近，但尚未出现明显突破。

$BTC is back into the $62,000-$62,500 level. Hold this level, and Bitcoin could rally towards $65,000. Lose this level, and BTC could drop to $60,000. pic.twitter.com/O877SmIdMU — Ted (@TedPillows) August 3, 2026

损坏的随机数生成器如何危及冷存储安全

Coinkite证实，2021年3月的一次固件错误在种子短语创建过程中引入了设备伪随机数生成器（PRNG）的漏洞。固件未使用专用的硬件随机数生成器，而是依赖微控制器的序列号和时钟寄存器。这极大地降低了生成种子的熵值，将密钥空间从密码学意义上的庞大规模缩减到实际上可计算的程度。PRNG漏洞此前已在加密货币生态系统中出现过——2013年Android安全随机数生成器的缺陷导致钱包密钥可预测，并直接引发比特币被盗——这凸显了熵值生成在软件和硬件钱包平台上都是一个反复出现的故障点。

凭借被削弱的密钥空间，攻击者可以生成候选种子，推导出对应的比特币地址，并在公共区块链上检查这些地址的余额——所有这些都无需触及受害者的硬件钱包。

Galaxy Research的分析详细描述了第一波攻击：7月30日，攻击者在短短41分钟内从1,196个地址窃取了1,082.65枚BTC。随后第二波攻击使用更复杂的手法，包括将多个受害者的交易合并处理，从1,912个地址中转走了约208枚BTC。Galaxy评估认为这些攻击可能由单一操作者协调实施，但尚未明确将三波攻击全部关联起来。

$1.6 million dollars in Bitcoin was drained from my account on July 29th in the Cold Card wallet hack. My Bitcoin was in cold storage. My keys were on a ColdCard device kept in a safety deposit box that had never been connected to the internet. This part's nerdy, but here's… pic.twitter.com/Lf9kJv9Jo4 — Jonathan Goodman (@itscoachgoodman) August 1, 2026

受影响的钱包及所需行动

Coinkite最初针对运行固件版本4.0.1或更高版本的Mk3设备发出警告，随后将安全公告扩大至包括部分Mk4、Mk5和Coldcard Q固件版本。公司已发布紧急固件更新，CEO Rodolfo Novak发表道歉声明，对该漏洞承担"全部责任"。

然而，仅安装更新后的固件并不能修复在受影响版本上生成的种子所带来的漏洞。在受影响固件上创建种子的用户必须在已修补的固件上生成全新的种子，并将所有资金迁移到新的钱包。从2021年3月固件发布到2026年7月遭受攻击之间，受影响的种子可能已使用超过五年，使面临风险的钱包数量进一步增加。

Jan3 CEO Samson Mow敦促所有Coldcard用户鉴于持续的攻击立即迁移资金。Block的Clay Garrett透露，有人使用付费账户协助识别了攻击中涉及的源地址，且该信息已提交给相关部门。

自主托管转移了风险——但并未消除风险

Coldcard事件反映了2026年观察到的一个更广泛趋势：虽然基础设施和密钥泄露事件的频率有所下降，但它们在加密货币行业的美元损失中占据了不成比例的份额。对于硬件钱包行业而言，这一事件引发了关于熵值质量如何进行独立审计，以及是否应要求制造商发布其随机数生成实现的正式安全证明的疑问。

X上的猜测认为，AI辅助工具可能在发现或利用该PRNG漏洞中发挥了作用，但Coinkite和Block均未对此予以证实。

这一事件凸显了硬件钱包安全的一个基本原则：设备的强度在很大程度上取决于密钥生成过程中使用的随机性质量。正如Galaxy Research所指出的，分析弱密钥空间的成本不断下降，意味着行业必须采用更强的熵值验证标准。

对于使用Coldcard设备进行自主托管的比特币持有者，建议的步骤是：对照Coinkite的官方公告检查设备固件，在完全更新的固件上生成新种子，并将所有资金迁移至安全的新钱包。