Alex Thorn，Galaxy Digital 常務董事兼全公司研究主管，於 2026 年 8 月 3 日約 UTC 1:00 回報了他所描述的、針對 Coldcard 錢包用戶的第四次有組織攻擊浪潮——距離第一波攻擊被審查僅數天。Coldcard 是一款由 Coinkite 製造的比特幣專用硬體錢包，因其氣隔簽名模型而被自託管持有者廣泛使用，這使得重複的協調清掃行動對依賴專用硬體保護密鑰的用戶群體構成重大隱患。

Thorn 的鏈上分析涵蓋比特幣區塊 960,778 至 960,792，跨越約兩個半小時的活動，且在發表時仍在進行中。該群組包含 218 筆交易，涉及 462 個疑似受害者地址和 216 個先前未使用的目標地址。這些交易共移動了 388.92748828 BTC。以撰文時比特幣價格約 62,700 美元計算，總價值約為 2,440 萬美元。

此數字代表的是疑似轉帳，而非已確認、不可恢復的損失。部分交易仍排隊等待在比特幣記憶池中，Coldcard 的歸因基於 Thorn 的鏈上分析，而非 Coinkite 或執法機構已完成的調查。

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

攻擊模式與先前的 Coldcard 事件吻合

Thorn 記錄到每個比特幣區塊約有 13.8 筆疑似清掃交易，而事件前對照期為每個區塊 0.3 筆——速率約為正常值的 45 倍。

輸入歷史同樣與先前的疑似 Coldcard 活動吻合。根據 Thorn 的說法，所有交易輸入均未早於與該漏洞相關的韌體邊界。在硬體錢包安全領域，韌體邊界通常標誌著軟體更新改變設備處理私鑰或簽署交易方式的時間點，這意味著僅在該邊界之前創建或使用的地址可能不會受到相同程度的暴露。

目標地址模式也同樣一致。幾乎每筆交易都將資金發送至單獨的、新創建的地址，僅有一個目標地址接收了兩次清掃。交易並未將比特幣立即合併至單一收款錢包，而是將資金分散至數百個新地址，使得該群組乍看之下不那麼顯眼。

綜合清掃量的急劇增加、吻合的輸入歷史以及反覆使用新地址等因素，Thorn 將此活動歸因於另一波 Coldcard 受害者。該分析未能識別控制收款地址的實體或受影響的個別用戶數量。

部分待處理交易可能仍可替換

388.9 BTC 的總額包括已確認的交易以及仍在記憶池中等待的交易——記憶池是有效的比特幣交易在礦工將其納入區塊之前暫存的區域。

一筆未確認的交易在其啟用 Replace-by-Fee（費用替換，簡稱 RBF）訊號時可能仍可被替換。Thorn 表示，該群組中已確認的交易在進入區塊之前已發出 RBF 選擇加入訊號，類似仍在等待確認的交易可能使用相同設定。RBF 自 2016 年起已成為 Bitcoin Core 的標準功能，在交易創建時即決定是否啟用，這意味著並非所有未確認交易都可以被替換。

比特幣的 RBF 機制允許一筆未確認交易被另一筆花費相同幣但支付更高費用的交易所替換。因此，仍控制相關私鑰的受影響所有者，可能能夠通過發出一筆有效且費用高於攻擊者交易的替換交易，將比特幣重新導向至安全錢包。

然而，追回並非保證。替換交易必須滿足比特幣的交易政策，攻擊者也可能提高費用，且一旦未經授權的交易被確認，此機會即告終止。

第二跳轉帳關閉了 RBF 視窗

Thorn 發現部分比特幣已從初始目標地址轉移至第二跳錢包。第一跳地址接收原始清掃；第二跳則發生在比特幣再次被轉移至另一地址時。

該動作表明原始清掃已經確認，排除了通過 RBF 替換的任何可能性。Replace-by-Fee 可以與仍在記憶池中的交易競爭，但無法逆轉已記錄在區塊鏈上的交易。

比特幣在鏈上仍然可追蹤，儘管後續轉帳可將其分散至更多地址、與其他資金合併，或將其轉向交易所和其他服務。追回資金可能取決於識別這些服務並獲得其運營商或執法機構的配合。

Coldcard 用戶現在應該怎麼做

Thorn 呼籲用戶迅速行動：「請立即將資金從 Coldcard 設備轉出，並使用高交易費用。」

用戶應首先檢查交易歷史，查看是否有未經授權的對外支付。如果可疑交易仍未確認且標記為可替換，所有者可能仍能發出一筆更高費用的交易，將相同比特幣發送至安全錢包。不熟悉此流程的任何人應尋求可信賴的比特幣安全專家的緊急協助，而非拿受影響的資金進行試驗。

剩餘的比特幣應轉移至使用全新安全憑證創建的新錢包。將資金轉移至由同一個可能已洩露的種子生成的另一地址，無法消除根本風險。

用戶絕不應向任何提供追回協助的人提供種子短語、私鑰、錢包備份或 PIN。檢查公開交易或確定其是否仍未確認，並不需要這些機密資訊。

如果未經授權的交易已經確認，用戶應保留交易 ID、錢包記錄和相關設備資訊，以供追蹤、通報和後續調查之用。

安全警告： 切勿向任何提供追回協助的人提供種子短語、私鑰、錢包備份或 PIN。面臨未經授權的未確認交易的用戶應尋求可信賴的比特幣安全專家的緊急協助。

方法論

本文使用 Alex Thorn 於 2026 年 8 月 3 日的鏈上分析，涵蓋比特幣區塊 960,778 至 960,792。美元估算將 388.92748828 BTC 乘以所述比特幣價格 62,700 美元。攻擊浪潮的歸因代表 Thorn 的評估，不應視為 Coinkite、執法機構或獨立鑑識調查的最終結論。