Coldcard 黑客在 1.14 億美元盜竊後，87% 被盜比特幣未被移動

超過 87% 與 Coldcard 黑客事件相關的比特幣仍然未被移動，攻擊者控制下的比特幣數量為 1,561 BTC，研究人員將此次事件的損失與 1.147 億美元聯繫在一起。

摘要

• Galaxy Research 追蹤到從 8,865 個地址盜竊的 1,789 BTC 與 Coldcard 黑客事件有關。
• 約 1,561 BTC，或 87.3% 的損失仍未被移動。
• 後續攻擊中部分比特幣已通過 CoinJoin 交易和剝離鏈進行移動。
• Galaxy 已將識別出的攻擊者地址分享給交易所、合規公司和執法機構。

根據 Galaxy Research 的研究負責人 Alex Thorn 在週一的 X 帖子中表示，從 8,865 個地址盜竊的 1,789.28 BTC 與 Coldcard 漏洞有關。被盜的比特幣在被盜時價值 1.147 億美元，而 Thorn 將其當前價值估計為約 1.388 億美元。

📊 關於 Coldcard 漏洞的更新數據

8865 個地址在被盜時損失了 1789.28 BTC，當時價值 1.147 億美元（今天約 1.388 億美元）

-- 按地址損失
中位數 0.00152
平均數 0.20184
休眠中位數 3.2 年
休眠平均數 3.6 年

-- 按受害者報告損失（221）
中位數 1.04272
平均數 3.57792
休眠... pic.twitter.com/d2R29dYyco
--- Alex Thorn (@intangiblecoins) 2026 年 8 月 24 日

在總數中，1,561 BTC，或 87.3%，尚未被花費，仍然在攻擊者控制的收集或持有地址中。與前三波已識別的攻擊相關的所有比特幣也未被移動，這為研究人員提供了被盜資金的大部分持有位置的鏈上記錄。

一些來自後續攻擊的資金已開始移動。Thorn 表示，攻擊者使用了 CoinJoin 交易、剝離鏈和其他旨在使比特幣在地址之間的移動更難以追蹤的方法。

Coldcard 黑客事件中的大多數比特幣仍然可追蹤

Galaxy 的最新數據包括地址級別的分析以及受害者直接提交的信息，因為研究人員繼續繪製與該漏洞相關的錢包。

根據 Thorn 分享的數據，在該公司識別的 8,865 個地址中，中位數損失為 0.00152 BTC，平均損失為 0.20184 BTC。受影響的比特幣在被盜之前也長期處於休眠狀態，中位數地址休眠時間為 3.2 年，平均為 3.6 年。

受害者報告顯示，個別損失更為嚴重。Galaxy 收到了 221 份報告，涵蓋了 790.72 BTC，相當於與該漏洞相關的總比特幣的 44.2%。報告的中位數損失為 1.04272 BTC，平均損失為 3.57792 BTC。

Thorn 另外澄清，中位數意味著至少有一半的 221 名報告受害者損失了 1 BTC 或更多。這些報告中涵蓋的比特幣在被盜之前的休眠時間中位數為 3.25 年，而平均休眠時間為 2.99 年。
你可能還會喜歡：Coldcard 盜竊：FBI 可能知道 1,082 BTC 攻擊者

確認的損失總數可能未涵蓋與此事件相關的所有損失。Thorn 表示，包括尚未確認的中等信心地址將使估計增加到約 1,824 BTC，當時價值約 1.4 億美元。

早期的估計隨著研究人員識別出額外的受害者地址和攻擊模式而發生變化。TRM Labs 在 8 月 5 日表示，該事件涉及幾波攻擊，始於 7 月 30 日，並將盜竊追溯到一個固件問題，該問題削弱了生成某些 Coldcard 錢包種子的隨機性。

根據 TRM Labs 的說法，2021 年 3 月通過固件引入的構建配置錯誤導致受影響的設備回退到較弱的軟件隨機數生成器，而不是完全依賴硬件生成的熵。該安全公司表示，導致的密鑰強度可能低到可以通過暴力計算恢復私鑰，而無需對錢包進行物理訪問。

攻擊者開始隱藏一些後期盜竊行為

儘管最大的持有量仍然停留，但Galaxy發現後期攻擊中被盜資金的交易行為有所不同。

CoinJoin可以將多個參與者的交易合併，使得將個別輸入與其最終輸出連接變得更加困難。剝離鏈涉及將較大餘額中的較小金額反覆轉移到新地址，為調查人員創造更長的交易痕跡。

Galaxy持續追蹤這些動向，同時將已識別的攻擊者地址分享給加密貨幣交易所、合規公司和執法機構。Thorn表示，這一努力可能使集中式平台能夠識別並潛在地凍結被盜的比特幣，前提是攻擊者最終將資金發送到可以攔截帳戶或交易的服務中。

前三波的缺乏動作對於追蹤工作尤為重要，因為相應的比特幣尚未經過後期活動中觀察到的混淆技術。因此，研究人員可以繼續監控已知地址的外發交易。

八月初，TRM Labs也報告稱，大多數被盜資金集中在少數幾個攻擊者控制的地址中，當時幾乎沒有後續動作。不同攻擊波之間的交易結構差異使該公司表示可能涉及多個攻擊者，儘管並未將此漏洞歸因於任何特定行為者。

Coldcard安全專注於離線密鑰存儲

此次事件引起了對專門圍繞比特幣自我保管建立的硬體錢包品牌的關注。

在五月，crypto.news曾報導Coinkite推出了Coldcard MK5，這是自2022年MK4推出以來該旗艦MK系列的首次硬體修訂。該設備保留了使用兩家芯片製造商組件的雙安全元件設計，並繼續支持隔空交易工作流程。

MK5還引入了更大的Gorilla Glass顯示屏、重新設計的物理按鈕和改進的NFC功能。Coinkite當時表示，該設備繼續使用開源固件，同時保持其比特幣專用設計。

在Coldcard損失浮出水面之前，錢包安全已經受到更多關注。七月，Coinspect披露了一個名為「Ill Bloom」的弱點，涉及多個軟體錢包在恢復短語生成過程中的隨機性不足。該安全公司表示，到七月初，大約500萬美元已從暴露的錢包中轉移，儘管硬體錢包似乎未受到該特定問題的影響。

隨機性不足在加密貨幣錢包中可能變得特別危險，因為種子短語最終決定了控制資產的私鑰。如果用於創建種子的隨機輸入包含的熵過少，則擁有足夠計算資源的攻擊者可能能夠搜索減少的可能組合範圍。

硬體錢包風險引起了新的審查

今年夏天其他錢包安全事件涉及不同的攻擊方法。

Ledger的Donjon研究人員在七月展示了一種激光攻擊，針對Tangem錢包卡，該攻擊可能重置其密碼並潛在地允許簽署交易。Tangem表示，該方法需要實體擁有該卡、專業知識和價值約25萬美元的實驗室設備，使得該攻擊不同於可遠程利用的錢包弱點。

鏈上調查員ZachXBT在七月也批評了硬體錢包，表示他不認為現有設備適合簽署關鍵交易或持有大量加密貨幣。他的評論代表了個人評估，並未與當時的新硬體妥協證據相關聯。

Coldcard事件涉及一個不同的失敗點，因為研究人員將盜竊事件與受影響設備上的種子生成聯繫起來。TRM Labs表示，安裝更新的固件並不能修復最初以弱隨機性生成的種子，這意味著受影響錢包的用戶需要在安全硬體上生成新的種子，並將他們的比特幣轉移到從中衍生的地址上。

對於調查人員來說，被盜的比特幣本身仍然是主要的證據來源。Galaxy持續向交易所、合規公司和執法機構分發確認的攻擊者地址，同時監控尚未離開攻擊者控制的收集和持有錢包的1,561 BTC。
閱讀更多：Monad提議對錢包進行升級以支持通行密鑰、恢復和量子安全