2026 年 10 月 11 日,比特币硬件钱包制造商 COLDCARD 的官方 X 账户被入侵,被劫持的账户被用于发布虚假安全警报。由于该消息似乎来自公司本身,立即在比特币持有者中引发了担忧。该帖还复用了过往事件中的足够真实细节,乍看之下颇具可信度。根据这条虚假警报,Mk4、Mk5 和 Q 设备的固件存在漏洞,用户被指示通过一个假网站提取资金。

Coldcard 已删除该帖,并敦促用户不要访问或点击该链接,公司确认该链接属于钓鱼攻击。公司还表示,其唯一官方网站为

COLDCARD 在 2026 年 10 月 11 日发布于 X 的帖子中表示:

We are investigating how a post containing a phishing link was published from this account. It has since been deleted. Do not visit or interact with that link. COLDCARD's only official website is . This account has used offline 2FA with tightly restricted… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) October 11, 2026

来源:COLDCARD on X

此次事件引发了新的恐慌,因为攻击者似乎利用了人们对 Coldcard 钱包安全危机的记忆——当时错误的钱包生成了大量劣质钱包,造成约 1 亿至 1.3 亿美元的损失。尽管账户被入侵,Coldcard 报告称未发现其内部系统被访问的任何迹象,并正在调查攻击者是如何控制其 X 账户的。

COLDCARD 被黑事件究竟发生了什么?

此次攻击的核心是通过该公司的 X 页面散布虚假安全警报。根据攻击者的消息,Coldcard 多款硬件钱包——包括 Mk4、Mk5 和 Q 型号——的固件存在漏洞,使客户面临风险。用户被建议访问一个外部网站以保护其加密资产。然而,这一警告并不真实,其目的是开展钓鱼攻击。

Coldcard 表示,公司正在调查该帖子是如何从其账户发布的。公司还联系了 X 支持团队,请求对该平台上的恶意活动进行调查。这一事件表明,攻击者可以滥用正规公司的社交媒体账户使骗局显得可信,也凸显了此类账户被劫持带来的额外危险,因为用户往往更倾向于认真对待其硬件钱包制造商的指示。以厂商自身名义发布的虚假警报比普通诈骗信息更难被识破,因为它通过用户习惯性信任的渠道传来。

COLDCARD 被黑事件利用了 7 月钱包危机

此次攻击似乎利用了 Coldcard 用户在 2026 年 7 月面临的紧急问题:当时一个软件错误导致生成的钱包随机性质量低劣,使私钥容易被离线攻击破解。据估计,该事件造成的损失约为 1,600 至 1,800 BTC,价值约 1 亿至 1.3 亿美元。与传统的钓鱼骗局不同,那次盗窃并未要求受害者提供助记词。

7 月的问题影响了 Mk3 的固件版本 4.2.0、Mk4/Mk5 的 5.6.0 以及 Q 的 1.5.0Q。即使在受影响版本被确定之后,存在漏洞的钱包仍需要生成新的种子短语并将资金转移到新建的钱包中。

在 10 月的这起事件中,诈骗消息复用了 7 月事件中的信息,包括设备类型和固件版本,以使虚假警报显得可信,并促使受害者迅速采取行动。

Coldcard 称内部系统未被入侵

尽管其官方 X 账户被黑,Coldcard 否认其内部系统有任何被入侵的迹象。公司表示,日志审查未发现未经授权的访问,其凭据以及自 2017 年以来一直使用的离线双因素认证均完好无损。

Coldcard 已联系 X 支持团队以进一步调查情况,并提出了通过平台或其管理机制进行未经授权访问的可能性,但攻击的确切机制尚不清楚。公司还指出,有传言称 X 的内部工具在暗网市场上出售,但与此次攻击尚未得到证实。

COLDCARD 被黑事件并未证实公司的硬件钱包或客户资金遭到任何入侵。对于硬件钱包而言,资金的控制权取决于用户的设备和助记词,而非制造商的社交媒体账户,因此账户被盗本身并不意味着钱包被盗。目前的关键问题是攻击者如何获得账户控制权,Coldcard 的调查进展及其与 X 支持团队的沟通是值得关注的后续信息。

谁受到 COLDCARD 被黑事件的影响?

此次攻击主要威胁那些点击了钓鱼链接并输入了钱包数据的用户。任何获取用户 24 个单词助记词的人都可能访问该钱包并取走其中的资金。未点击该链接且未向任何人透露助记词的用户,尚未被确认为此次攻击的潜在受害者。

Coldcard 用户应谨慎核实任何消息的真实性,切勿在任何网站上提供助记词。

微软账户被黑事件凸显加密骗局风险

Coldcard 的社交媒体账户并非唯一被利用发布误导性加密货币信息的大品牌账户。据报道,微软的 X 账户也曾被用于推广加密骗局,这提醒人们即使是最大的科技公司也难以免受账户劫持的影响。此类案例表明,攻击者如何利用知名品牌的名声来制造欺骗性帖子。

涉及加密货币的交易无法撤销,这意味着任何成功的钓鱼攻击都会直接导致损失。COLDCARD 被黑事件凸显了攻击者如何利用真实的安全漏洞,诱使受害者在未验证来源的情况下采取行动。加密货币持有者应通过正规渠道核实任何警报,并妥善保管助记词。在调查结果出来之前,此次事件被理解为仅限于社交媒体账户被入侵。