Coldcard硬件钱包大规模漏洞中被盗的部分比特币正被转移用于追回工作，白帽黑客将资金转入他们标记为旨在将代币返还受害者的信托——所谓“白帽”通常指追回被盗资金而非据为己有的黑客。

根据Galaxy Research的区块链监测，9月21日，40.71枚BTC（价值约331万美元）在一笔交易中被转移，该交易将与漏洞相关的代币进行归集。此次转账涉及11个地址、20个输入和480个输出，并附有一条OP_RETURN消息——嵌入比特币交易中的一小段备注——内容为“claims: cryptorecoverytrust.com”。由于此类备注直接记录在区块链上，任何检查该交易的人都可以看到该申领标记。Galaxy将这些代币归属于其标记为“Footprint AA”的攻击者，以及此次攻击第二波的一个中转地址。

在一篇相关帖子中，Galaxy研究主管Alex Thorn表示，更大规模的一次归集将来自多个攻击者集群的52.37枚BTC转入一个标记为同一加密恢复信托的新地址。他指出，这些白帽资金约占整个Coldcard漏洞被盗总量的2.8%——这笔赃款的其他部分大多仍在攻击者钱包中处于休眠状态，绝大部分被盗代币目前仍在这一标记资金池之外。

❄️COLDCARD WHITE HAT MOVES FUNDS TO TRUST 🏳️ 52.37 BTC comprised of coins from Wave 2, Footprints AA, AU, AX consolidated into a fresh address with an OP_RETURN "claim:cryptorecoverytrust dot com" in block 967,948 these white hatted funds represent 2.8% of the coldcard exploit pic.twitter.com/c5eYeQMxHQ — Alex Thorn (@intangiblecoins) September 21, 2026

此次资金转移标志着今年最严重的自我托管灾难之一出现了值得注意的转折。Coldcard漏洞源于Coinkite的Coldcard设备在2021年3月的一次固件构建错误，该错误生成的助记词随机性严重不足，使私钥可被猜测。由于这一缺陷内嵌于每个助记词的生成方式之中，更新固件无法修复已在受影响设备上生成的钱包——这也提醒人们，在自我中，密钥生成阶段的失误无法事后修补。

在峰值时期，此次被盗金额在数千个地址中增长至约1.3亿美元，Galaxy对各波归集的展开过程进行了追踪。大部分被盗比特币已在攻击者地址中闲置数周，引发了这些资金是否会被转移的猜测。

恢复信托标记的出现表明，至少有部分参与者正尝试将资金引导返还给受害者。然而，链上消息并未详细说明加密恢复信托将如何运作，以及所有者如何申领其代币。是否会有更多攻击者集群被重新标记归入该信托，以及申领程序是否会在链上备注之外另行公布，是受影响用户目前应关注的重点。

Coinkite此前已敦促受影响用户迁移至新生成的助记词，并在漏洞发生后推出了新的安全措施。