針對 Coldcard 產生的 Bitcoin 錢包，一波新的協同掃掠於週一清晨開始，並持續了數小時。根據 Galaxy Research 的說法，這場持續中的漏洞利用所造成的累計損失，已升至約 1,816 BTC——約合 1.14 億美元——涉及超過 5,200 個地址。

連同自 7 月 30 日以來的前三波攻擊，資金流失速度一再超過先前估算。第四波是連續五天掃掠行動中的最新一輪。

漏洞來源

根本原因與第一波相同，並未改變。加拿大公司 Coinkite 製造的部分 Coldcard 裝置，其 2021 年 3 月韌體版本在產生錢包種子時，使用了可預測的軟體回退機制，而不是裝置專用的硬體亂數產生器。因此，持有人原以為具備密碼學安全性的私鑰，實際上可由任何能夠推演可能組合的人離線重建。

Coldcard 的市場定位是空氣隔離（air-gapped）硬體錢包，也就是設計上不會直接連接電腦或網路。這種定位讓它成為重視自我託管、並盡量降低對第三方信任的 Bitcoin 使用者常見選擇。這項漏洞破壞的不是任何網路防護，而是在裝置內部產生種子的那一刻，就已動搖了這項核心承諾。

過程中沒有釣魚、惡意軟體或使用者失誤。受影響的幣當時只是靜置在錢包中，而這些錢包從建立的那一刻起就已遭破壞，外部也沒有任何跡象顯示異常。

第四波使用 Replace-by-Fee

與前三波不同，目前這批交易使用了 Bitcoin 的 replace-by-fee 功能，允許後續支付更高手續費的待處理交易覆蓋先前交易。在交易真正於區塊鏈上確認之前，若持有人發現自己的地址出現在 mempool——也就是未確認交易佇列——中，就只有以分鐘計的短暫窗口，可透過提高手續費競價，搶先將資金移走。

Galaxy 的企業級研究主管 Alex Thorn 標記了這波正在進行的攻擊，並以近乎即時的方式追蹤其模式。他坦言，對第四波的判斷是基於推斷而非直接確認。Thorn 表示，他沒有收到與第四波直接對應的受害者報告，而是僅根據模式比對發布發現，選擇在交易仍未確認時就先行提醒，而不是等待確定無疑。也就是說，這是 Thorn 對鏈上行為的解讀，並非已確認的失竊報告；即便如此，前三波攻擊已獲得獨立佐證。

第四波背後的數據相當嚴峻。區塊 960,778 至 960,792 期間，每個區塊約出現 14 筆掃掠，而事件前基準約為 0.3，約為正常活動的 45 倍。共有 218 筆交易波及 462 個受害者地址。與前幾波不同，資金現在被導向全新、先前未使用的地址，而非第一、二波中較容易追蹤的共用收集錢包；這一變化顯示操作者已針對外界關注作出調整。

與此同時，四波攻擊都未影響多重簽章（multisignature）設定，這與 Coinkite 的說法相互印證：漏洞特別出現在單一金鑰種子的產生環節。另有 6 個目的地址因具有多年交易歷史而被排除在模式之外，理由是如果真的是全新的攻擊者地址，就不應該已有既有歷史。

Coldcard 事件證明沒有安全避風港

連續四天的掃掠真正證明了一件事：這個產業最初的銷售說法從來都不完全成立；而且直到一家市場領導者默默污染了數千個錢包長達五年，才有人察覺。所有已確認波次中，被偷走的幣平均已閒置 3.18 年。這些不是被逮到分心的短線交易者，而是自我託管的典型信徒，完全依照倡導者教導的方式行事：購買可信賴的硬體、離線產生種子、絕不碰網路、然後等待。

加拿大教練 Jonathan Goodman 即使把私鑰存放在從未連上任何網路線的銀行保險箱中，仍在七分鐘內損失了 18.25 BTC。他說：「也許這件事最難的地方在於，我已經把一切都做對了。」他的說法沒錯，而這正是問題所在：失敗不是出在他的紀律，而是在他購買裝置之前就已被寫入其中。

Coinkite 執行長 Rodolfo Novak 已公開致歉並推送緊急修補，同時也指出，公司尚未確認這項韌體錯誤就是任何特定已通報失竊案的原因。修補程式無法修復已經存在的種子。Coinkite 自己的指引提到，只有 50 次獨立擲骰以產生熵、BIP-39 密碼短語或多重簽章，才是真正有效的防護；這些保護措施被埋在文件中，而不是被當作客戶必須遵守的要求明確推出。沒有人告訴一般持有者，他們需要為自己的硬體製造商替自己投保。

接著，Changpeng Zhao——那家原本就是為了讓自我託管變得多餘的交易所創辦人——告訴持有人「沒有任何事是 100% 安全的」，並建議將資金分散到多個錢包中。

這是中肯的建議，儘管看起來可能帶有自利色彩。CZ 多年來一直得面對同樣的質疑：中心化交易所正是人們應該逃離的對象，而如此規模的硬體錢包災難，是他第一次真正有機會把論點重塑為「一切都有風險，那為什麼不改信我們？」。這不代表他對風險的本質判斷有誤；但也意味著，他的說法應該像加密產業對待其他利益相關創辦人一樣，受到同等程度的懷疑。

CryptoQuant 的數據顯示，FTX 崩潰後出現的趨勢已逆轉：不是從交易所撤回自我託管，而是較小的持有者正把 Bitcoin 重新轉回 Binance、Kraken 和 OKX 等平台，轉而追求安全，而這些平台正是自我託管原本要取代的託管方。五年前，資金流向還是相反的。這種逆轉，遠比任何單一被盜幣更能代表真正的新聞重點：這個產業花了十年時間告訴人們，應該信任冷錢包而不是交易所，而一樁事件就足以讓人們轉身跑回中間人。

隨著損失數字持續攀升，實務建議仍然不變：檢查你的 Coldcard 種子是否早於修補版本，將資產移轉到使用最新韌體產生的錢包；如果你現在看到自己的地址仍在 mempool 中且尚未確認，就不要等，立刻提高手續費競價。