币圈界报道：

比特币小额资产大规模迁移，触发行业安全警报

上周五，市场观察到超过39,600枚比特币通过单笔低于1 BTC的交易完成转移，创下自2022年11月以来的最高纪录。这一数据由CryptoQuant研究主管胡里奥·莫雷诺披露，并与持续影响Coldcard硬件钱包的自托管攻击事件形成直接关联。

漏洞根源：随机数生成机制失效

此次大规模资金撤离可追溯至加拿大Coinkite公司生产的Coldcard硬件钱包所存在的固件缺陷。自7月30日起，攻击者仅用25分钟便从约500个钱包中窃取了约594枚比特币，总价值超3800万美元。值得注意的是，攻击全程未涉及物理接触或恶意软件植入。

问题核心在于2021年3月引入的一个随机数生成器设计疏漏。本应禁用MicroPython内置随机源并启用独立硬件生成器的指令，因支持代码库中的检查逻辑错误，在部分设备上未能生效。由此生成的种子短语并非真正随机，而是具备可预测性，使攻击者可在普通计算环境下重构候选种子并匹配区块链地址。

受影响范围涵盖2021年至2026年间使用Mk3固件版本创建的钱包，其中许多账户长期处于休眠状态，直至被一次性清空。

损失规模持续扩大，攻击仍在进行

初始报告的594枚被盗币量迅速被刷新。Galaxy Digital旗下研究机构追踪显示，7月31日第二波攻击使总损失升至1,082.65枚BTC（涉及1,196个地址），价值约7000万美元。当日第三波攻击后，损失进一步攀升至1,158.66枚BTC，覆盖2,673个地址。

截至8月1日，累计被盗金额已达约1,367枚BTC（约合8860万美元），波及4,585个地址。Galaxy全公司研究主管亚历克斯·索恩在周日明确表示，攻击行为尚未终止，强烈建议所有在Coldcard上持有资产的用户立即迁移资金。

尽管Coinkite已于7月31日发布紧急固件更新，覆盖Mk3、Mk4、Mk5及Q系列设备，但该更新无法修复已生成于缺陷固件下的旧种子。用户必须在新版固件下重新生成种子并转移资产——这正是当前小额转账激增的直接动因。

密码短语成为关键防御屏障

采用BIP-39密码短语（即在标准助记词基础上添加额外单词）保护的钱包在此次事件中普遍幸免。该机制改变了密钥派生路径，使得攻击者即便掌握芯片公开信息也无法复现其推导过程。安全研究人员一致认为，这是本次危机中最有效且实用的防护手段。

区块链安全公司Blockaid指出，2026年上半年绝大多数加密资产损失源于密钥泄露与人为失误，而非智能合约缺陷。其首席执行官伊多·本-纳坦强调，Coldcard事件正体现了这一趋势：漏洞发生在密钥生成阶段，而用户对此无从验证。

自托管模式再受争议，观点分歧显现

此事件再度引发关于“自持密钥是否优于第三方托管”的广泛讨论。Casa首席执行官尼克·诺伊曼反驳称“自托管失败”之说，估计目前安全持有的比特币数量远超此次被盗总量的十倍以上。

彭博社高级ETF分析师埃里克·巴尔丘纳斯则指出，现货比特币ETF为多数持有者提供了更便捷、受监管的替代方案，并强调其稳健运营历史。部分社区成员反驳称，该事件仅针对特定厂商，不构成对自托管模式的整体否定。有分析预计，短期内将有更多谨慎投资者转向受监管托管机构与合规金融产品。

未来警示：密钥生成环节不可忽视

Coldcard漏洞是近年来第三起重大钱包生成环节事故，此前包括2023年的“Milk Sad”随机数缺陷与2026年的移动钱包“Ill Bloom”事件。三起案例均指向同一风险点：密钥生成过程缺乏透明度与可审计性，用户无法自行验证。

对广大比特币持有者而言，真正的教训并非自托管不可靠，而是必须关注种子生成的熵值来源。即使设备保持离线状态，弱随机性仍可能导致灾难性后果。当前低于1 BTC的集中迁移潮，正是用户在攻击窗口尚存时主动规避风险、向已修复固件生成的新地址转移资产的实际响应。