比特幣硬體錢包製造商 COLDCARD 的官方 X 帳號於 2026 年 10 月 11 日遭入侵，遭劫持的帳號被用來發布虛假的資安警報。由於該訊息看似來自公司本身，立即引起比特幣持有者的擔憂。該貼文也重複使用了足夠多來自過往事件的真實細節，乍看之下頗具可信度。根據這則詐騙警報，Mk4、Mk5 與 Q 裝置的韌體存在漏洞，用戶被要求透過一個假網站提取資金。

Coldcard 已刪除該貼文，並呼籲用戶不要造訪或點擊該連結，公司證實該連結為釣魚連結。公司也聲明其唯一的官方網站為

COLDCARD 於 2026 年 10 月 11 日在 X 上發文表示：

We are investigating how a post containing a phishing link was published from this account. It has since been deleted. Do not visit or interact with that link. COLDCARD's only official website is . This account has used offline 2FA with tightly restricted… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) October 11, 2026

來源：COLDCARD on X

此次事件再次引發警覺，因為攻擊者似乎利用了 Coldcard 錢包資安危機的記憶——當時錢包產生缺陷造成約 1 億至 1.3 億美元的財務損失。儘管發生入侵事件，Coldcard 表示並未發現任何內部系統遭存取的跡象，並正在調查攻擊者如何取得其 X 帳號的控制權。

COLDCARD 駭客事件發生了什麼？

此次攻擊的核心是透過該公司的 X 頁面散布虛假資安警報。根據攻擊者的訊息，多款 Coldcard 硬體錢包——包括 Mk4、Mk5 與 Q 型號——的韌體存在漏洞，使客戶面臨風險。用戶被建議造訪一個外部網站以確保其加密資產安全。然而，這項警告並非真實，目的在於執行釣魚攻擊。

Coldcard 表示正在調查該貼文如何從其帳號發布。公司也已聯繫 X 支援團隊，要求對平台上的惡意活動進行調查。此事件顯示攻擊者如何利用合法公司的社群媒體帳號使詐騙看起來可信，同時凸顯此類帳號遭劫持的額外危險，因為用戶往往會更認真對待來自硬體錢包製造商的指示。以廠商自身名義發布的假警報，比一般的詐騙訊息更難辨別，因為它來自用戶習慣信任的管道。

COLDCARD駭客事件利用 7 月錢包危機

此次攻擊似乎利用了 Coldcard 用戶於 2026 年 7 月遭遇的緊急問題——當時一個軟體錯誤導致產生的錢包隨機性品質低落，使私鑰容易透過離線攻擊被破解。該事件的估計損失約為 1,600 至 1,800 顆 BTC，價值約 1 億至 1.3 億美元。與傳統的釣魚手法不同，該類型竊盜並未要求受害者提供助記詞。

7 月的問題影響了 Mk3 的韌體版本 4.2.0、Mk4/Mk5 的 5.6.0，以及 Q 的 1.5.0Q。即使在受影響版本被確認之後，存在漏洞的錢包仍需要重新產生種子短語並將資金轉移至新錢包。

在 10 月的事件中，詐騙訊息重複使用了 7 月事件的資訊，包括裝置類型與韌體版本，使假警報看起來可信，並促使受害者迅速採取行動。

Coldcard 表示內部系統未遭入侵

儘管官方 X 帳號遭駭，Coldcard 否認其內部系統有任何遭入侵的跡象。公司表示，經檢視日誌未發現未經授權的存取，其憑證與離線雙因素驗證——該公司自 2017 年以來使用的安全機制——皆完好無損。

Coldcard 已聯繫 X 支援團隊以進一步調查情況，並提出可能透過平台或其管理機制發生未經授權存取的猜測，惟攻擊的確切機制仍不清楚。公司也提到，有傳聞稱 X 內部工具在暗網市場上出售，但與此次攻擊的關聯尚未獲得證實。

COLDCARD 駭客事件並未證實公司的硬體錢包或客戶資金遭到入侵。就硬體錢包而言，資金控制權取決於用戶的裝置與助記詞，而非製造商的社群媒體帳號，因此帳號遭入侵本身並不代表錢包遭入侵。目前的關鍵未解問題是攻擊者如何取得帳號控制權，Coldcard 的調查進展及其與 X 支援團隊的調查結果值得持續關注。

誰受到 COLDCARD 駭客事件的威脅？

此次駭客事件主要對點擊釣魚連結並輸入錢包資料的用戶構成風險。任何取得用戶 24 字助記詞的人都有可能存取錢包並清空其資金。未點擊連結且未向任何人提供助記詞的用戶，尚未被確認為此次駭客攻擊的潛在受害者。

Coldcard 用戶應謹慎驗證任何訊息的真實性，並且絕不在任何網站上提供助記詞。

微軟帳號遭駭凸顯加密詐騙風險

Coldcard 的社群媒體帳號並非唯一被利用來發布誤導性加密貨幣資訊的大型品牌帳號。據報導，微軟的 X 帳號也曾被用來推廣加密貨幣詐騙，這提醒人們即使是最大的科技公司也無法倖免於帳號劫持。這些案例顯示攻擊者如何利用知名品牌的良好名聲來發布欺騙性貼文。

涉及加密貨幣的交易無法撤銷，這意味著任何成功的釣魚攻擊都會直接導致損失。COLDCARD 駭客事件凸顯了攻擊者如何利用真實的資安事件，誘騙受害者在未經驗證來源的情況下採取行動。加密貨幣持有者應透過正確管道驗證任何警報，同時妥善保管助記詞。在調查結果出爐之前，此次事件被認為僅限於社群媒體帳號遭入侵。