Block 工程團隊已確認涉嫌策劃針對 COLDCARD 硬體錢包重大漏洞攻擊的實體，並將攻擊者的鏈上活動追溯至一家與該竊案有關的區塊鏈服務提供商。Block 是一家前身為 Square 的金融科技公司，持續專注於比特幣相關計畫，包括透過自有錢包部門推展自託管硬體業務。

COLDCARD 由 Coinkite 製造，是一款專為比特幣設計的硬體錢包，因其氣隙式安全架構與開源韌體而廣受自託管社群青睞。該設備被視為市面上安全性較高的硬體錢包之一，這使得此次入侵的規模對自託管社群而言尤為引人關注。

此次安全事件發生於 2026 年 7 月 30 日，導致近 500 個錢包中約 594 枚比特幣損失。事發時被盜加密貨幣的價值約為 3,800 萬美元。據調查人員表示，攻擊者在約 25 分鐘內清空了所有受影響錢包，交易時間介於 01:31 至 01:56 UTC 之間。

可追溯至 2021 年的韌體漏洞

調查人員確認，該漏洞源自五年多前引入的一項韌體缺陷。問題出於 2021 年 3 月發布的 COLDCARD 韌體 4.0.0 版。

受影響的韌體停用了硬體隨機數產生器，並以可預測的軟體流程取代，可能使攻擊者得以重現受影響設備上生成的錢包種子。

硬體隨機數產生器的設計目的在於產生不可預測的數值，用以保護加密金鑰和錢包助記詞。隨機數產生缺陷在加密貨幣系統中已成為有記錄的攻擊途徑超過十年；2013 年，Android 安全隨機數產生器的一項漏洞曾導致該平台上多個比特幣錢包應用程式資金被盜。根據技術調查結果，受影響的 COLDCARD 韌體依賴的是使用非機密種子輸入的軟體備用機制。了解此弱點的攻擊者可利用設備特定元資料與其他可預測資訊重建錢包種子。

該漏洞主要影響 COLDCARD Mk3 設備及少數 Mk2 機型。僅有在安裝受影響韌體版本期間創建助記詞的錢包才面臨風險。

證據顯示攻擊者已準備多年

調查顯示，攻擊者在實施竊盜前可能已知道該漏洞存在數年之久。事件中被選中的錢包似乎包含休眠帳戶，暗示攻擊者花了大量時間識別易受攻擊的設備並計算對應的錢包種子。

攻擊持續時間之短也指向了充分的準備。工程師評估認為，攻擊者可能已預先生成易受攻擊的錢包種子，並開發了自動化工具以快速執行提款。攻擊行動的速度與規模表明，攻擊者很可能已預先計算出目標錢包憑證，並將轉帳流程自動化。

聯合調查與協調揭露

Block 與 COLDCARD 硬體錢包製造商 Coinkite 合作調查此次事件並追蹤被盜資金的流向。據報導，他們的分析將攻擊者的鏈上活動與一家區塊鏈服務提供商聯繫起來。

聯合調查支援了在漏洞詳細技術資訊公開前進行緊急揭露的流程。這一協調回應旨在降低進一步被利用的風險，同時通知受影響用戶。

Coinkite 建議立即遷移錢包

Coinkite 向 COLDCARD Mk3 設備及更舊型號的用戶發布公告，這些用戶的錢包種子可能在受影響韌體版本下生成。該公司的初步評估顯示，包括 Mk4、Q 及 Mk5 型號在內的較新設備未受到相同的隨機數產生弱點影響。

URGENT COLDCARD SECURITY UPDATE

Read carefully before acting.

Mk3 seed generated on 4.0.1+ without ≥50 private, independent dice rolls: begin a careful migration now.

Mk4/Mk5 <5.6.0 or Q <1.5.0Q: update first, generate a new seed, then migrate.

— COLDCARD (@COLDCARDwallet) July 31, 2026

受漏洞潛在影響的用戶被建議使用未受影響的硬體創建全新的錢包種子，並儘快將其加密貨幣資產轉移至新生成的錢包。建議的安全措施是廢棄可能已暴露的助記詞，在未受影響的設備上生成新種子，並立即遷移所有資金。

更廣泛的影響

事件發生時比特幣交易價格在 64,000 美元以上，不過此次竊案對更廣泛的加密貨幣市場似乎影響有限。

此案例突顯了硬體錢包韌體缺陷帶來的長期安全風險，而硬體錢包通常被認為是儲存加密貨幣私鑰最安全的方法之一。安裝 2021 年 3 月更新的用戶可能認為自己在強化設備安全，但部分用戶實際上卻透過被削弱且可預測的隨機數流程生成了錢包種子。

此次入侵也表明，漏洞在被利用前可能潛伏多年——尤其是當攻擊者有充足時間識別受影響錢包、重建敏感憑證並自動化大規模交易時。確認與一家區塊鏈服務提供商的關聯，是朝向可能歸因邁出的一步，但在資訊揭露時，資金追回的路徑仍不明朗。