币圈界报道：

Coldcard钱包漏洞引发大规模比特币盗取，追踪工作持续深入

据Galaxy Research评估，已确认的三波攻击中，共有7300个地址遭遇盗窃，累计损失达1596枚比特币；若后续疑似第四波攻击被证实，总损失可能攀升至约2055枚，市值接近1.3亿美元。调查还发现14起与该漏洞相关的较小安全事件，其中约九成被盗资产尚未发生转移，为响应与监控提供了关键窗口期。

第四波攻击迹象浮现，尚待受害者验证确认

尽管当前尚未将第四波攻击纳入正式统计，但链上分析已识别出高度相似的交易行为模式。研究主管Alex Thorn于8月3日首次捕捉到异常活动，初步估算涉及约448.7枚比特币及709个疑似受害地址。分析师对此类攻击由单一实体主导持中高可信度判断，但具体影响范围仍存在不确定性，需依赖更多用户反馈以完善地址映射。

漏洞根源可追溯至2021年固件更新引入的熵源错误

此次安全事件源于Coldcard Mk3、Mk4、Mk5及Coldcard Q设备在运行特定固件版本时，其种子生成机制出现严重缺陷。该问题始于2021年3月，因集成新加密库而误用伪随机数生成器替代硬件真随机数源。尽管硬件熵源仍在其他功能中正常运作，但钱包创建流程已悄然切换至低熵的MicroPython生成器。独立审查证实，受影响设备生成的种子熵值远低于标准——Mk2/Mk3仅约40位，而Mk4/Mk5和Q型约为72位，远未达到预期的128位安全阈值。

多数被盗资产仍处于静默状态，追踪窗口尚未关闭

调查团队正与美国联邦执法机构、主流交易所及链上分析组织协作，共享已识别的攻击者与受害者地址列表。数据显示，前三个确认攻击波次中的全部被盗比特币自转移后未再变动，形成宝贵的时间窗口用于监控和干预。与此同时，研究人员警告，在设备继续使用的情况下，潜在攻击者可能重复利用同一漏洞发起新一轮攻击。链上活动显示，第四波疑似攻击期间，每区块平均钱包扫描次数飙升至13.8次，较此前的0.3次显著上升。多数被盗资金被分拆至多个新地址，并通过多层跳转交易隐藏路径，大幅增加溯源难度。

针对仍在控制权内的受损钱包，用户可通过“替换手续费”机制尝试撤销未确认的转账，但此操作仅在矿工处理前有效，且无法确保成功追回资金。因此，强烈建议所有受影响用户尽快迁移资产。

冷钱包用户应立即重置种子并完成固件升级

Coinkite已发布紧急固件补丁，涵盖Mk2/Mk3的4.2.0版、Mk4/Mk5的5.6.0版、Coldcard Q的1.5.0Q版，以及Edge版6.6.0X和6.6.0QX。公司同时销毁了所有含易受攻击固件的库存。然而，更新固件仅能保障未来创建的钱包安全，先前使用漏洞版本生成的种子短语仍具风险，必须更换。

建议用户在安装新固件后，生成全新种子，通过小额测试交易验证接收地址正确性，确认无误后再进行大额资金转移。此外，使用至少50次公平骰子投掷方式生成的钱包不受本次缺陷影响。尽管强密码短语提供额外保护，但原始脆弱种子仍不安全，迁移仍是唯一稳妥方案。