Alex Thorn，Galaxy Digital 董事总经理兼全公司研究主管，于2026年8月3日约1:00 UTC报告了他所描述的疑似针对 Coldcard 钱包用户的第四波有组织攻击——距离第一波攻击被审查仅数天。Coldcard 是由 Coinkite 制造的 BTC 专用硬件钱包，因其离线签名模型而被自托管用户广泛使用，这使得反复出现的协调性资金清扫对依赖专用硬件保护密钥的部分用户构成了严重关切。

Thorn 的链上分析覆盖了 BTC 区块960,778至960,792，跨越约两个半小时的活动，在发布时仍在持续。该集群包含218笔交易，涉及462个疑似受害者地址和216个此前未使用的目标地址。这些交易共计转移了388.92748828 BTC。按撰写时 BTC 交易价格约62,700美元计算，总额价值约2440万美元。

该数字代表的是疑似转账，而非已确认的不可挽回损失。部分交易仍在 BTC 内存池中等待确认，Coldcard 归因基于 Thorn 的链上分析，而非 Coinkite 或执法部门已完成的调查。

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

模式与此前 Coldcard 事件吻合

Thorn 记录到每个 BTC 区块约有13.8次疑似清扫，相比之下，事件发生前对照期内每块仅为0.3次——观察到的速率约为正常水平的45倍。

输入历史也与此前疑似 Coldcard 活动吻合。据 Thorn 称，所有交易输入均未早于与漏洞相关的固件边界。在硬件钱包安全领域，固件边界通常标志着软件更新改变设备处理私钥或签名交易方式的节点，意味着仅在该边界之前创建或使用的地址可能不具有相同的暴露风险。

目标地址模式同样一致。几乎每笔交易都将资金发送至一个独立的、新创建的地址，仅有一个目标地址收到了两次清扫。这些交易没有立即将 BTC 合并到一个汇集钱包中，而是将资金分散到数百个新地址中，使整个集群在第一眼看上去不那么明显。

综合来看——清扫次数的急剧增加、吻合的输入历史以及对新地址的反复使用——Thorn 将这些活动归因于新一轮 Coldcard 受害者。分析未能确定接收地址的控制者身份或受影响的个人用户数量。

部分待处理交易可能仍可替换

388.9 BTC 的总额包括已确认的交易以及仍在内存池中等待的交易——内存池是有效的 BTC 交易在矿工将其打包入块之前暂存的区域。

当一笔未确认交易启用了替换费率（Replace-by-Fee，简称 RBF）标志时，该交易可能仍可被替换。Thorn 表示，该集群中已确认的交易在被打包入块之前已标记了 RBF 选项，仍在等待确认的类似交易可能使用相同的设置。RBF 自2016年起一直是 Bitcoin Core 的标准功能，在交易创建时选择启用，这意味着并非所有未确认交易都可以被替换。

BTC 的 RBF 机制允许一笔未确认交易被另一笔花费相同币但费用更高的交易所替换。仍然控制相关私钥的受害持有者因此可能通过发出一笔费用高于攻击者交易的有效替换交易，将 BTC 重定向至安全钱包。

然而，追回并非万无一失。替换交易必须满足 BTC 的交易策略，攻击者也可能提高费用，且一旦未授权交易被确认，机会即告终结。

二级跳转转账关闭了 RBF 窗口

Thorn 发现部分 BTC 已经从初始目标地址转移至二级跳转钱包。一级地址接收原始清扫资金；当 BTC 再次被转移至另一个地址时，即发生二级跳转。

该动表明原始清扫交易已被确认，排除了通过 RBF 替换的任何可能性。替换费率可以与内存池中的交易竞争，但无法逆转已记录在区块链上的交易。

BTC 在链上仍可追踪，尽管后续转账可能将其分散到更多地址、与其他资金合并或转移至交易所和其他服务。此后追回可能取决于识别这些服务并获得其运营者或执法部门的配合。

Coldcard 用户现在应该怎么做

Thorn 敦促用户迅速行动："MOVE YOUR FUNDS OFF COLDCARD DEVICES ASAP AND USE HIGH TX FEES."

用户应首先检查其交易历史，查找任何未经授权的转出支付。如果一笔可疑交易仍未确认且标记为可替换，持有者可能仍能发出一笔费用更高的交易，将相同的 BTC 发送至安全钱包。不熟悉该流程的人应紧急寻求受信任的 BTC 安全专家的帮助，而非用受影响的资金进行尝试。

所有剩余的 BTC 应转移至使用全新安全凭证创建的新钱包。将资金转移至由同一个可能已泄露的种子生成的另一个地址，并不能消除根本风险。

用户绝不应向任何提供追回协助的人提供种子短语、私钥、钱包备份或 PIN。这些机密信息并非检查公开交易或确定其是否仍未确认所必需的。

如果未授权交易已被确认，用户应保留交易 ID、钱包记录和相关设备信息，以用于追踪、报告及后续调查。

安全警告： 绝不向任何提供追回协助的人提供种子短语、私钥、钱包备份或 PIN。面临未确认未授权交易的用户应紧急寻求受信任的 BTC 安全专家的帮助。

方法论

本文使用 Alex Thorn 于2026年8月3日的链上分析，覆盖 BTC 区块960,778至960,792。美元估算将388.92748828 BTC 乘以所述的62,700美元 BTC 价格。攻击波次归因代表 Thorn 的评估，不应视为 Coinkite、执法部门或独立取证调查的最终结论。