Coldcard固件漏洞：已确认盗走超1亿美元BTC，或有第四波

Galaxy Research 表示，Coldcard固件漏洞相关的已确认盗币损失已达 1,596 BTC（折合超1亿美元），来自约 7,300 个地址，覆盖 3 次主要攻击浪潮以及 14 起较小事件。该机构还判断存在一条“疑似第四波”，置信度为中高；若成立，累计损失可能升至 2,055 BTC（约1.3亿美元）。Galaxy 之所以尚未把第四波纳入“已确认”统计，是因为其认为的受害者尚未完成回报；截至目前已有 73 名受害者联系了该机构，并帮助验证前三波攻击。 在链上层面，约 90% 的被盗比特币尚未转移。攻击者与受害者地址已被提交给美国联邦执法机构、加密交易所及网络安全调查机构，Galaxy 也称攻击仍在持续。该事件可追溯至 2021 年 3 月 Coldcard 固件构建错误：某配置设置导致设备跳过硬件随机数发生器，密钥生成随后回退到基于芯片序列号/计时寄存器等信息的“软件替代方案”。7 月 31 日已发布修复固件，但无法修复已用漏洞设置生成的种子。 对交易者而言，就 BTC 而言，短期价格层面的直接冲击可能有限，但围绕 Coldcard固件漏洞的安全头条可能会短暂影响市场对自托管的风险偏好。更长期的影响在于，市场会进一步聚焦自托管的运维与安全流程，尤其是那些在漏洞曝光后延迟更新 Coldcard 固件的用户。