追查 Coldcard 黑客。第一波竊賊可能為 FBI 所知

By: bitcoinmagazine.com|2026/08/18 16:02:05

執法機構可能已經知道誰在 2026 年 7 月的第一次和最大規模的盜竊中從 Coldcard 錢包中掏空了超過一千個比特幣。Block 的調查認為他們追蹤到了攻擊者的鏈上掃蕩行為，並發現其與一家主要區塊鏈數據提供商的付費帳戶相匹配，內部日誌與盜竊模式的匹配程度“極為具體”。

PSA：攻擊仍在進行中，目標是自 MK2 以來使用 4.0.1 及以上固件生成的弱私鑰。如果您可能擁有一個，請立即仔細檢查並轉移資金。請參閱 Coinkite 的建議和狀態頁面。

來自那一波的比特幣——1,082.65 BTC——仍然靜靜地坐在攻擊者的地址中，讓受害者和第一波被盜比特幣的合法擁有者仍抱有希望，或許可以追回。現在的問題是，黑客是誰，是否同樣的線索指向一個複雜的外部人，或者使盜竊成為可能的五年老的熵漏洞是否更接近於 Coinkite 曾經警告過的內部“退休攻擊”。

我們所知道的

在 2026 年 7 月 30 日，一名攻擊者開始系統性地從 Coldcard 硬體錢包中抽取比特幣，這些錢包在易受攻擊的固件下生成了種子，這是一個多年來未被發現的漏洞。僅第一波和最大的一波就移動了 1,082.65 BTC。隨後又有幾波，估計超過 2,000 BTC。Galaxy Research 的 Alex Thorn 通過鏈上模式分析和自願的受害者報告追蹤了這一活動。截至 8 月初，來自多個波次的確認和估計損失超過 1,800 BTC，涉及超過 5,000 個地址，儘管隨著新報告的到來，最終的確切總數仍在不斷修正。以美元計算，約 1.18 億美元已被確認被盜。

Thorn 公開討論了執法機構可能已經掌握了有關最大一筆盜竊的具體線索的可能性。在 Bitcoin Magazine YouTube 頻道上主持的 Bitcoin Policy Institute 節目中，Thorn 表示：“第一波的身份，攻擊者的身份，可能為執法機構所知。”他補充說，第一波仍然是迄今為止識別出的最大單筆盜竊，這些比特幣仍然靜靜地坐在攻擊者的地址中，並指出第二波的模式看起來足夠相似，可能涉及同一行為者。第二波再增加約 76 個比特幣。

關於黑客身份可能已知的主要來源是 Block 的 Bitkey 工程負責人 Clay Garrett。2026 年 7 月 31 日，Garrett 發布了 Block 調查的結果：

“在我們對 Coldcard 盜竊的調查中，我們識別出掃蕩中的一個不尋常模式。這一模式使我們提出了一個假設，該假設後來得到了確認：操作員使用了一個知名區塊鏈服務提供商的付費帳戶來查詢源地址並在掃蕩過程中執行其他相關活動。”

“我們直接聯繫了該提供商。他們的內部日誌以極為具體的方式匹配了可疑的工作流程，包括請求的數量、時間和順序。該提供商在回應未透露其更廣泛目的的請求時提供了其標準服務。我們沒有看到該提供商故意參與或促進可疑盜竊的證據。”Garrett 說，並補充道：“我們正在與相關當局分享相關信息。我們將在不妨礙調查的情況下提供進一步的更新。”

Thorn 和其他人指出，後來的小波顯示出不同的操作模式——一些快速的、機會主義的盜竊，隨後是快速的洗錢——這表明在初步公開披露後，可能有其他行為者逆向工程了相同的弱種子空間。自 8 月 6 日以來，自報的確認盜竊似乎急劇減少，儘管在 2021 年至 2026 年 7 月的補丁之間生成的許多潛在易受攻擊的種子仍然存在風險，直到用戶進行遷移。

退休攻擊？

失敗的性質引發了關於內部攻擊的陰謀論，這是 Coinkite 曾公開討論過的。在 2021 年 10 月，官方的 COLDCARD 帳號將「退休攻擊」定義為「當項目製作者可能在隨後的檢索中存在一個「漏洞」時的情況。」該帖子仍然可以在這裡找到。2026 年的漏洞正好產生了這樣的結果：生成的種子具有遠低於預期的熵，幾年後仍然可以被搜索到。現在比特幣界的一些人認為這次黑客攻擊可能是 Coinkite 的內部工作，儘管其他人不同意，且公開記錄中的證據仍然太少，無法得出任何確定的結論。進一步的證據可能需要數年才能出現，直到訴訟揭露它。

當項目製作者可能在隨後的檢索中存在一個「漏洞」時。 --- COLDCARD (@COLDCARDwallet) 2021 年 10 月 10 日

關鍵的變更於 2021 年 3 月 1 日進入代碼庫，提交標題為「First pass w/ libNgU」（b18723dd）。該提交用一個新的庫 libngu 替換了剩餘的 Trezor 衍生加密技術和 BIP-39 代碼，並重新連接了種子生成。預期的結果是隨機性調用解決為 STM32 硬體的真隨機數生成器。然而，該漏洞將調用重定向到 MicroPython 的軟體 Yasmarang PRNG，導致在舊型號上有效熵崩潰至約 40 位，而在新型號上約為 72 位。這意味著生成的比特幣私鑰在現代計算硬體上實際上是可以猜測的。這次加密庫的替換是由 Coinkite 的首席技術官 Doc-Hex（彼得·格雷）推送到代碼庫的。

根據 Foundation Devices 的首席執行官兼創始人 Zach Herbert 的說法，這一舉動可以說是受到許可壓力驅動的，儘管 Coinkite 否認這是代碼變更的主要動機，並表示：「COLDCARD 必須進行這一變更以轉向 libsecp256k1；許可變更與此無關。libsecp256k1 是比特幣核心使用的標準庫。」

Coldcard 一直在使用根據 GPLv3 開源許可證的 Trezor 衍生代碼。在 Foundation Devices 叉出相關材料後，Coinkite 希望將剩餘組件轉移到更具限制性的 MIT + Commons Clause 協議，限制商業重用。這次重寫規模龐大，並承載著複雜的工程目標；正是這一整合可以說留下了熵路徑中的靜默失敗。

對於從 Trezor 加密庫的遷移，早在 2021 年 4 月 7 日，Coinkite Telegram 群組的一位成員就表達了懷疑，他寫道：「我們真的想要替換已經被 Johoe 等白帽子仔細審查的多年歷史的 TrezorCrypto 代碼嗎？並且被 wallet.fail 進行滲透測試。」他補充道：「Switch 可能是一位才華橫溢的匿名編碼者，但他們的提交歷史糟透了。」然而，這一批評並不足夠，迅速被 NVK 擺脫，他批評 Trezor 庫為「垃圾幣的垃圾秀」。諷刺的是，與更廣泛的加密市場共享該代碼庫，在開放許可下意味著 Trezor 的加密庫得到了比 Libngu 更深入的代碼審查，即使在幾年後也是如此。

Switch 和彼得·格雷（Doc-Hex）

引入漏洞的加密庫替換是由 Coinkite 的首席技術官 Doc-Hex（彼得·D·格雷）推送到代碼庫的。他用 Libngu 替換了 GPLv3 的 Trezor 加密庫，Libngu 是一個鮮為人知的代碼庫，由所謂的「Switch」創建，這個名字在創建 Libngu 之前並沒有明顯的歷史。Switch 帳號於 2019 年 8 月 3 日在 X 上出現，提到 DEFCON，這是一個國際黑客會議，通常由各類網絡安全工程師參加。

在2020年10月16日，Switch在X平台上感謝Doc-Hex合併他的代碼；「謝謝你合併 @DocHex ... 我正在製作另一個比特幣庫。將來在 @COLDCARDwallet 上可能會有用。」幾天後，Switch發推文連結到Libngu，為自己建立了一個「有用的東西」而感到自豪。

然而，事情開始變得奇怪。根據比特幣核心貢獻者James O'Beirne的研究，Switch和Peter D. Gray使用相同的GPG密鑰簽署了代碼提交。O'Beirne通過GPG提交簽名證明，作為switck的數十個提交是用Coinkite的共同創始人和CTO Peter D. Gray的個人密鑰簽署的，他同時也是DocHex。Zach Herbert還聲稱，結尾相同的兩位數字的電話號碼與DocHex和switck的X帳戶有關聯（帖子）。其他研究人員指出了匹配的DNS註冊模式。

截至目前，Gray和Coinkite都尚未公開回應GPG簽名的發現，並且在被要求對此話題發表評論時沒有回應。Switch帳戶至今仍然活躍，最近在2026年8月17日合併了對Libngu的代碼更改。

許多比特幣行業的人將此視為某種不當行為的間接證據。為什麼要特意創建一個化名僅僅為了某個特定的加密庫？這被視為某種惡意意圖的證據；然而，深入分析卻提出不同的看法。如果Gray真的打算用這個隨機數生成器漏洞來欺騙Coldcard用戶，他真的會用他的個人GPG密鑰簽署提交嗎？是否有人如此狡猾，以至於隱藏一個漏洞多年，等待其被採用擴散；同時卻忘記為這個一次性化名創建專用的GPG簽名？我認為這不太可能。

更有可能的是，這是Gray在DEFCON上隨意創建的一個隨機身份，可能是出於一時的偏執。這個身份他在多年中繼續用於某些項目。畢竟，在比特幣開發者圈子中，使用化名的身份並不罕見。中本聰本人就是最著名的例子。因此，Gray和Switch之間的這一聯繫在追查Coldcard黑客的過程中，無論如何都不算太重要。

MicroPython貢獻者

最近還有一些其他開源開發者被確定曾接觸或影響過在Coldcard RNG漏洞中起作用的代碼。

數據分析師LaurentMT已經檢查了RNG路徑的MicroPython部分。MicroPython是一個精簡的開源Python 3實現，旨在運行在微控制器和資源受限的計算機上。Coldcard固件最終因該漏洞調用了MicroPython的Yasmarang偽隨機數生成器（PRNG）回退，導致低熵生成。

對MicroPython中PRNG邏輯的代碼更改始於2020年8月20日，當時一位名為'mirko'的用戶在GitHub上開啟了問題（#6347）。他抱怨他的ESP32硬件在以某種方式調用' random.choice()'函數時總是返回相同的結果。Mirko期望隨機結果。GitHub問題記錄了接下來幾個月關於正確處理相關邏輯和預期行為的討論，Mirko透露這有一個反直覺的設計。

Laurent指出，「robert-hh於2020年8月22日初始化了一個[Pull Request]，實現了PRNG種子變更。」MicroPython的維護者Dpgeorge在2020年10月29日稍後合併了該拉取請求的稍微修改版本到主庫，實現了「(UID+SysTick+RTC)以解決robert-hh解決方案中的一些限制。」

這段關於關鍵RNG相關代碼的變更是在MicroPython的主代碼庫上進行的，當時Coldcard將其分支以供Libngu使用，但在MicroPython正式發布該庫的新版本之前。顯然，基於軟體代碼庫的主版本進行構建被認為是有風險的，因為主版本可能會隨著代碼變更而不斷演變，而不是基於官方的穩定版本進行構建。MicroPython的新版本直到2021年2月3日才發布，版本為v1.14。更糟的是，RNG邏輯的變更在發布公告中僅被簡要提及，表示「urandom模組在stm32、esp8266、esp32和rp2端口上將在導入時隨機化其種子」。

在接受《比特幣雜誌》採訪時，Laurent毫不含糊地總結道：「如果沒有這一修改，Coldcard代碼中的漏洞將會立即被發現。」他還評論了導致該漏洞的一系列事件，表示「在這個時間線上有很多‘巧合’，」並補充道「雖然它們並不能證明什麼，但我不明白為什麼官方調查會完全忽視它們。」

值得注意的是，沒有證據表明上述任何開發者故意試圖通過這些變更引入Coldcard RNG漏洞，最終，負責其關鍵代碼實施的是硬體錢包公司Coinkite。MicroPython是一個大型、廣泛使用的開源項目。儘管如此，我們可能會從這一悲劇性的錯誤喜劇中學到許多教訓。

為什麼內部作案的可能性不大

幾個因素使得故意的、長期計劃的內部作案攻擊不太可能。‘switck’身份的隔離做得很差；共享的GPG密鑰和其他重疊使得一旦研究人員查看，將其歸因於Doc-Hex即彼得·格雷相對簡單。該帳戶多年來基本上被遺棄。MicroPython的貢獻者在一個高可見度的項目中公開運作。

Hodlonaut的Citadel21調查和其他技術評估未發現明確的證據表明熵失敗是故意的。工程師Alekos Filini對該漏洞的技術報告明確追蹤了技術事實，表示「我的目標是純粹呈現事實，而不是得出任何結論。」Wizardsardine在其技術解剖中詳細描述了多個失敗的保護措施，並將失敗描述為「跨越子模塊邊界，這正是審查者停止查看的地方。」

Steven Geller對該主題的技術深入探討也未對此事做出任何強烈的主張。DK27對該漏洞的概念驗證重建將該問題描述為「一連串四個缺陷，每個缺陷在外觀上都是無害的。」

如果這些漏洞是經典的內部作案攻擊，或者某些人所稱的長期詐騙，那麼今天的對話將會截然不同。我們上一次在比特幣行業看到重大的長期詐騙黑客事件可能是QuadrigaCX，一家集中式的加拿大交易所，其創始人Gerald Cotten在2018年被報導「死於印度」，當時正值神秘情況下，不久之後就發現了失踪的資金。創始人被安大略證券委員會指控在多年內挪用交易所用戶的存款，總額近1.7億加元，然後消失。

相反，Coinkite的領導層仍然公開活躍，對事件作出回應，發送修補固件，協助用戶遷移，並參與技術細節。Coinkite的創始人和運營者相當知名，截至撰寫本文時仍在運營該公司；他們並沒有在資金失踪的同時消失。

同時，第一波資金超過1000 BTC，仍然集中在三個地址中，受到數百名工程師和可能的執法機構（如FBI）的監視。如果Coinkite試圖進行一場5D棋風格的退休攻擊，他們在盜竊這些幣時會更加小心。他們不會將所有資金集中到幾個容易追蹤的地址上，而其創始人可能會在印度“神秘死亡”。

雖然目前尚無結論，調查可能會持續數年，但到目前為止，證據指向比特幣極端主義者和自我保管社群的文化失敗，未能廣泛教育用戶和影響者有關開源文化中的良好或不良禮儀，坦白說，Coinkite OG的傲慢在事後看來對他們自己的能力過於自信。