Coldcard硬件钱包漏洞事件：1.16亿美元比特币被盗的固件攻击时间线

这使得种子可被远程预测和暴力破解，攻击者仅需利用设备序列号和时钟读数等公开数据即可完成，无需物理接触钱包。在设置过程中自行掷骰子（绕过设备生成种子）的用户不受影响。

攻击时间线：五天四波

• 2021年3月 —— 有缺陷的固件代码被引入Coldcard更新中。
• 2026年7月30日 01:10–01:51 UTC —— 第一波大规模攻击：41分钟内从1196个地址盗走1082.65枚比特币（当时价值约7000万美元）。此次攻击比Coinkite发布公开警告早了近30小时。
• 2026年7月30日晚（美东时间） —— 第二波25分钟攻击：从约500个钱包盗走约594枚比特币（约3800万美元）。
• 2026年7月底至8月3日 —— 至少还有两波协同攻击发生，Galaxy Research追踪到三波确认攻击和14次小规模事件。
• 2026年7月31日 —— Coinkite为所有受影响型号和发布渠道推送紧急固件补丁。
• 2026年8月1–4日 —— 公开警告不断升级，攻击者仍在持续盗取钱包。Galaxy Research多次上调损失估算。
• 2026年8月7–12日 —— 链上后续数据浮现，显示大规模持有者迁移和创纪录的钱包创建。

被盗总额

随着事件发展，各方估算有所不同，但最全面的数据来自TRM Labs和Galaxy Research：约1816枚比特币（约1.16亿美元）从超过5200个地址被盗，共分四波攻击。早期报告因调查尚未完成，引用了较低的数字（4585个地址中盗走1367枚比特币，约8900万美元）。一些消息来源估计，如果疑似第四波攻击被完全确认，最终损失可能达到2055枚比特币（约1.3亿美元）。

150亿美元迁移：23.3万枚比特币离开长期钱包

漏洞事件发生后数日内，链上分析公司记录到大规模避险转移：

• Checkonchain数据显示约23.3万枚比特币离开长期持有者钱包，价值约150亿美元。
• Glassnode报告约**21万枚比特币（约136.9亿美元）**从休眠超过155天的钱包中流出——这是自2024年12月以来比特币长期持有量单周最大降幅。

这一迁移既反映了Coldcard用户将资金转移到新钱包，也反映了更广泛的恐慌情绪——据Casa首席执行官尼克·纽曼（Nick Neuman）称，包括Ledger和Trezor用户在内的长期持有者也将币转移到不同的托管安排中。

创纪录的钱包创建：单周227万个新钱包

截至2026年8月8日当周，比特币的链上活动创下2026年新高：

• 创建了227万个新钱包。
• 记录了75.1万个活跃钱包。

这一激增直接由持有者争相将资金从Coldcard设备转移出来，并在不同硬件上生成全新钱包所驱动。

关于自我托管的辩论

此次漏洞事件引发了关于硬件钱包安全假设和自我托管的激烈辩论：

• Casa首席执行官尼克·纽曼报告称，一些客户因Coldcard漏洞事件而重新考虑自我托管，转而投向合格托管机构。
• 安全专家指出，即便是"冷钱包"，其安全性也取决于固件和随机数生成器实现——此次攻击无需物理接触设备，也不需要用户操作错误，动摇了人们对硬件钱包核心承诺的信心。
• 此次事件被描述为史上最大硬件钱包漏洞，引发了关于多重签名和多元化托管设置是否必要（即使对资深比特币持有者而言）的讨论。

Coinkite的关键警告：必须生成全新种子

Coinkite发出紧急警告：固件补丁对受影响用户并不足够：

• 在受影响固件上生成的种子（尤其是2021年3月之后的Mk3版本）已被永久性破坏。 弱熵意味着种子短语已在攻击者的暴力破解范围内。
• 用户被指示在打了补丁或未受影响的硬件上生成全新种子，将资金转移到新钱包，并绝不再使用旧种子。
• 仅更新固件无法回溯性地强化已有弱种子。
• 此次事件不涉及任何用户操作的疏忽或网络钓鱼——设备在固件层面就已"内置"了漏洞，这对比特币社区长期以来的"不掌握私钥就不拥有币"信念构成了最严峻的挑战。