Galaxy Research 已將 Coldcard 硬體錢包漏洞與三波已確認攻擊中 1,596 枚被盜比特幣聯繫起來，損失涉及約 7,300 個地址。若疑似第四波攻擊獲得確認，總量可能增至約 2,055 BTC，按目前比特幣價格計算價值近 1.3 億美元。Coldcard 由 Coinkite 製造，是比特幣自主託管用戶中廣受歡迎的硬體錢包，以其氣隙安全設計作為賣點——這使得此次盜竊的規模在硬體錢包領域尤為引人注目。

該研究公司週一在 X（Twitter）上發布了一篇貼文公布其調查結果：

🚨LOSSES FROM COLDCARD HACK EXCEED $100M High confidence 1,596 BTC has been stolen from ~7300 addresses across 3 confirmed waves + more 14 smaller incidents. If we add suspected (but unconfirmed), the total balloons to $130m (2k BTC). More in the thread below 👇 pic.twitter.com/RAl3ib67qa — Galaxy Research (@glxyresearch) August 3, 2026

Galaxy 還發現了 14 起較小的安全事件，這些事件與同一種子生成缺陷有關，擴大了該漏洞已確認的範圍。

Galaxy 為何將第四波排除在外

Galaxy 尚未將疑似第四波攻擊納入其已確認總數，原因是來自受影響錢包所有者的驗證不足。該公司正在等待更多受害者出面驗證相關地址，這些地址仍被歸類為疑似統計數據。

儘管如此，區塊鏈活動顯示還有另一波協同盜竊。Galaxy 以中高信心評估認為，單一攻擊者可能佔疑似活動的很大比例。

Alex Thorn 是 Galaxy 全公司研究主管，他於 8 月 3 日首次標記了潛在的第四波攻擊。觀察到的交易與前三波中的交易具有相似性。Thorn 估計有 448.7 BTC 從 709 個疑似受害者地址中被盜。Galaxy 未將該數字納入其已確認總數。

Galaxy 如何追蹤該漏洞

據 Galaxy 表示，鏈上分析在評估 Coldcard 漏洞方面存在固有限制。鏈上證據並不總是能確認每個疑似受害者，也無法確定每次盜竊是否由同一個人所為。

Galaxy 的研究團隊持續利用新獲取的數據來完善其地址映射圖。調查人員審查由錢包所有者直接提供的資訊，以及調查中其他參與者提供的數據。

該漏洞影響以下 Coldcard 型號生成的種子：Mk3、Mk4、Mk5 和 Coldcard Q。每個受損錢包都使用了其中一個存在漏洞的固件版本。

Coldcard 的製造商 Coinkite 上週披露了該漏洞。該公司將問題追溯到 2021 年 3 月整合新密碼學函式庫時完成的工作。這一時間線意味著受影響的設備可能在披露前已生成脆弱種子長達約五年——這一較長的檢測窗口凸顯了審計硬體錢包固件中熵生成過程的困難，因為看似隨機的種子，如果底層熵池不足，仍然可能是可預測的。

技術細節與用戶指引

該固件此前一直依賴 MicroPython 提供的確定性偽隨機數生成器來生成錢包種子，而非預期的硬體支持隨機數生成器。硬體生成器在固件的其他部分繼續運行，審查也確認該組件存在於系統中，但種子生成錯誤一直未被發現。

Coinkite 估計 Mk2 和 Mk3 設備可能僅生成 40 位元的熵，而存在漏洞的 Mk4、Mk5 和 Coldcard Q 型號最多可產生 72 位元。預期的熵水準為 128 位元。在這些降低的水準下，熵被認為在密碼學上是脆弱的，因為低位元種子可以比正確生成的種子更高效地被暴力破解——這一類漏洞過去也曾影響過其他加密貨幣系統。

Galaxy 表示 Coldcard 漏洞仍然活躍。該公司建議受影響的用戶將資金轉移到更安全的地址，並在已修補的設備上創建全新的錢包種子。