Coldcard硬件錢包史上最大黑客事件：漏洞細節、時間線與自救指南

Coldcard硬件錢包漏洞事件，是加密貨幣史上最大規模的單一硬件錢包被入侵記錄，損失金額已超過1.3億美元，波及超過7,700個Bitcoin地址。截至2026年8月8日，黑客僅轉移了極小部分贓款——但這個情況剛剛改變。本文將詳細拆解漏洞原理、攻擊時間線，以及接下來嘅發展方向。

漏洞點：一條代碼，五年隱患

問題根源係一個喺2021年3月發布嘅Coldcard固件v4.0.1中引入嘅熵生成漏洞。一次代碼改動——將構建旗標

MICROPY_HW_ENABLE_RNG = 0

黑客唔需要物理接觸、釣魚電郵或者惡意軟件。佢哋只係逆向工程呢個弱熵輸出，就可以遠程重建受害者嘅12或24字種子短語，然後清空從未聯網嘅錢包。

Coldcard行政總裁Rodolfo Novak喺2026年7月30日確認咗呢個問題，仲暗示黑客可能係用AI工具大規模掃描開源固件先發現到呢個漏洞。

攻擊規模與時間線

攻擊分咗幾波有組織嘅掃蕩：

• 7月30日——第一波： 喺美東時間晚上9:56左右開始嘅25分鐘內，黑客清空咗大約500個錢包，偷走約594 BTC（當時約3,800萬美元），專揀最大嘅錢包落手。Chainalysis發現，頭10分鐘已經偷走咗3,000萬美元。
• 7月31日至8月4日——第二同第三波： 後續掃蕩令損失增至1,596 BTC（超過1億美元），影響大約7,300個地址。
• 疑似第四波： Galaxy Research標記咗一個可能嘅第四波攻擊，如果確認嘅話，總數會達到2,055 BTC（約1.3億美元）。

到咗8月初，TRM Labs將Coldcard事件列為2026年第三大加密貨幣黑客事件。Galaxy Research仲發現至少15個獨立黑客而家爭相攻擊任何仲未轉移嘅弱錢包。

8月7日資金轉移：30.185 BTC（194萬美元）

2026年8月7日，一個同Coldcard黑客相關嘅錢包將30.185 BTC（約194萬美元）轉移到一個新地址，根據鏈上追蹤器Lookonchain嘅報告。呢次係自最初攻擊以嚟第一次有贓款郁動。

• 呢次轉賬大約只係總數2,055 BTC嘅1.5%。
• 分析師認為呢個可能係測試交易，或者係準備大額套現嘅前奏。
• Bitcoin價格反應輕微，當時大約喺64,152美元附近徘徊。

九成贓款紋風不動

截至8月7日轉賬後，大約98.5%嘅被盜2,055 BTC仍然喺黑客錢包入面未郁過。呢個模式同高級黑客好相似：佢哋通常會等幾個月甚至幾年先至嘗試洗走大額資金。區塊鏈法證公司同交易所都喺度緊盯呢啲地址。

Coinkite嘅應對同固件更新

Coinkite喺7月30日發現漏洞後即刻行動：

• 7月30日 —— 發布緊急安全公告，公開披露漏洞。
• 7月31日 —— 為所有受影響型號同版本軌道推出緊急修復固件：
  • Mk3：4.2.0或更新版本
  • Mk4/Mk5標準版：5.6.0或更新版本
  • Q標準版：1.5.0Q或更新版本
  • Mk4/Mk5 Edge版：6.6.0X或更新版本
  • Q Edge版：6.6.0QX或更新版本

重要警告： 安裝修復固件唔會修復已經洩露嘅種子。Coinkite要求所有受影響用戶喺已修復固件上生成新種子，並立即轉移資金。公司仲銷毀咗剩餘嘅含漏洞固件庫存，暫停出貨。

受影響固件版本

• 最高風險： Mk3固件4.0.1到4.1.9，種子生成時無加入至少50次獨立擲骰或強獨特BIP-39密碼短語
• 同樣受影響： Mk4、Mk5同Q型號，早於上述修復版本
• 唔受影響： 喺漏洞固件窗口前生成嘅種子；使用至少50次擲骰嘅種子；受獨特BIP-39密碼短語保護嘅種子；TAPSIGNER、OPENDIME同SATSCARD設備（不同代碼庫）；以及至少有一個非漏洞密鑰嘅多重簽名設置

對自我託管同加密貨幣社區嘅啟示

• 硬件錢包唔係金鐘罩。 Coldcard事件粉碎咗「離線錢包可以免疫遠程種子盜竊」嘅假設。呢個漏洞喺固件入面潛伏咗超過五年。
• 喺漏洞固件上生成嘅種子永久洩露。 即使安裝咗修復，舊種子仍然可以被猜到。用戶必須創建全新錢包並轉移資金。
• 市場信心動搖。 Glassnode報告指出，黑客事件後一星期內，有大約210,000 BTC從長期持有者錢包（超過155日無郁過）中轉移——係自2024年以嚟最大規模嘅一次，反映Bitcoin自我託管者普遍信心受損。
• AI驅動審計加速。 安全研究人員指出，黑客可能係借助AI工具先可以大規模掃描開源固件嘅熵弱點，呢種能力而家正迅速被所有硬件錢包項目採用。
• 「我做足所有嘢」已經唔再夠。 好多受害者跟足最佳自我託管做法，但仍然損失慘重，呢件事說明固件完整性已經成為硬件錢包風險嘅新前線。