Coldcard 钱包大规模漏洞事件中的比特币盗窃损失已经开始放缓，但被盗 BTC 的总量仍在上升——而且最糟糕的情况可能还没有结束。

这是一直追踪该漏洞的加密研究公司 Galaxy Research 给出的最新判断。该公司周四表示，Coldcard 的种子重建漏洞迄今已造成超过 1,778 BTC 的损失，约合 1.12 亿美元，最终数字很可能还会更高。

Galaxy 表示，它对这一统计结果“非常有信心”。该数字包含自 7 月 30 日攻击开始以来、已被确认且可归因于受害者的钱包失窃记录，相关统计持续更新于其在 X 上的线程。

“攻击者至少从 2026 年 7 月 30 日清晨开始实施这起攻击，系统性地重建 Coldcard 生成的种子，并在链上转走资金，”Galaxy Research 写道。

在 Galaxy 已确认的多个波次和足迹中，没有任何活动出现在 8 月 6 日之后。这并不意味着该方法失效了，而是意味着容易下手的目标已经被清空。

自受害者被盗以来，大部分资金几乎没有移动。在至少已被盗的 1,778 BTC 中，仍有 1,531 BTC 处于攻击者控制的地址中且未移动。约 246 BTC 在盗取后被攻击者转移，其中 65% 流入 CoinJoin 交易…… pic.twitter.com/OHjJkr1x6D

— Galaxy Research (@glxyresearch) August 14, 2026

链上数据显示了什么

Coldcard 由总部位于多伦多的 Coinkite 制造，是一款仅支持比特币的硬件钱包，长期以来深受自托管用户欢迎——其卖点是私钥可在离线环境中安全生成和存储。2021 年的一次固件更新悄然将 Coldcard 的种子生成从硬件随机数芯片切换到一个软件替代方案，使密钥强度从 128 bits 降低到低至 40。之所以重要，是因为种子是钱包的主密钥——它是生成每一个私钥和地址的助记恢复短语，而 128 bits 的熵通常被安全工程师视为无法暴力破解；40 bits 则不是。攻击者可以根据设备序列号和时钟状态重建种子，然后在不使用钓鱼或恶意软件手段、甚至不需要实际接触设备的情况下转走资金。

Galaxy 的拆解显示，已被证实的最大波次——Wave 1——在最初几分钟内从 1,195 个地址中转走 1,082.65 BTC。当时这相当于约 70.5M 美元的比特币被盗。

Footprint E 是单一所有者确认的最大集群，共从 2,148 个地址中盗走 209.94 BTC（约 13.3M 美元）；Wave 3 则从 1,912 个地址中盗走 208.24 BTC（接近 13.0M 美元）。

在三个已证实波次和 41 个较小足迹中，该机构统计到超过 5,200 个被清空的地址。截至区块 962,304（数据截至 8 月 13 日），1,499.27 BTC（接近 93.9M 美元）仍未被花费，留在攻击者手中。

在已确认且高置信度的攻击波次和足迹中，没有任何一项发生在 8 月 6 日之后。更多受害者仍在向 Galaxy Research 报告情况（我们已与 190 多名受害者直接交流），这帮助我们直接归因损失并确认更多足迹，但并没有…… pic.twitter.com/8jEdFdJEog

— Galaxy Research (@glxyresearch) August 14, 2026

在 Galaxy 能追踪到最终去向的那一小部分资金中——174.97 BTC——大部分进入了 coinjoin 隐私轮次，少量则流向了 KuCoin 和 Jump Crypto。Galaxy 已与 190 多名受害者直接沟通，以归因损失。

该公司写道：“攻击波次的减弱，很可能是因为易受攻击的用户已经迁移，或者大部分资金已经被清空。”

Galaxy 重申了对用户的建议：“如果你仍然持有单签名 Coldcard 钱包中的资金，建议你将资金转移到新的地址。”这一警告特别针对单签名配置，因为多重签名钱包需要多个独立密钥才能授权支出，因此单个被泄露的种子本身不会暴露全部资金。

这一事件已推动约 150 亿美元的比特币转向更安全的托管方式，并促使竞争对手硬件钱包厂商 Ledger 警告称，钱包安全必须适应 AI 辅助发现带来的新威胁。其他硬件厂商也指出，恐慌情绪带来了钓鱼攻击激增。

Galaxy 仍保留一条候选的第四波——638.5 BTC，但尚未确认——如果计入，总损失将升至 2,417 BTC，按当前价格计算超过 151.3M 美元。