在透過針對 Coldcard 硬體錢包漏洞攻擊盜取超過 7,000 萬美元比特幣後，調查人員已確認攻擊者疑似利用一家知名區塊鏈服務提供商來協助轉移被盜資金。

支付公司 Block 的工程師 Clay Garrett 週五在 X（前身為 Twitter）上揭露了這一發現。他表示，在鏈上動態與他所描述的攻擊者「疑似工作流程」一致後，該服務提供商——其身分應其自身要求而被保密——已被識別出來。該提供商隨後已被聯繫。

「在我們對昨天 Coldcard 資金外流的調查中，我們在掃 sweep 操作中發現了一個不尋常的模式，」Garrett 寫道。

「該模式引導我們提出一個隨後被證實的假設：操作者使用了一家知名區塊鏈服務提供商的付費帳戶來查詢來源地址，並在掃 sweep 操作期間執行其他相關活動，」Garrett 繼續說道，並指出當局已被通知。

Galaxy Digital 的研究部門在 X 上附和了這一觀察，指出竊賊在轉移被盜代幣時表現出獨特的模式。

「該模式告訴我們這些都是同一個攻擊者——它並未捕捉到攻擊本身，攻擊本身看起來就像代幣持有者選擇轉移代幣一樣，」該公司寫道，並敦促比特幣用戶將資金從單簽名 Coldcard 地址轉移至更安全的託管方案。

根據製造 Coldcard 產品的公司 Coinkite 的說法，此次漏洞攻擊可追溯至 Coldcard Mk3 裝置中的韌體漏洞。Coldcard 裝置被宣傳為氣隙隔離、專為比特幣設計的自託管硬體錢包，這使得密鑰生成缺陷對於專門選擇該產品以獲得其安全功能的用戶而言尤為嚴重。

該缺陷自 2021 年 3 月發布的韌體版本 4.0.1 起存在，導致種子生成回退至弱軟體偽隨機數產生器，而非裝置的硬體真隨機數產生器。由於該漏洞超過三年未被發現，在此期間創建的錢包——不僅僅是最近創建的——可能攜帶源自受損熵的密鑰。

此缺陷使得許多單簽名錢包的私鑰——特別是那些在沒有骰子滾動或強 BIP-39 密碼短語的情況下創建的——變得足夠可預測，攻擊者可以暴力破解。隨機數生成中的弱熵一直是加密貨幣系統中已記錄的故障模式，其在硬體錢包中的存在凸顯了僅靠離線密鑰儲存並不能保證種子創建時的隨機性品質。

在週四最初外流超過 3,500 萬美元後，隨後又發生了更多盜竊。到週五，Coinkite 承認其所有裝置型號均受影響。被盜總額已超過 7,000 萬美元，工程師們警告更多比特幣地址可能仍面臨風險。

Coinkite 生產一系列比特幣安全產品，包括冷儲存硬體錢包。