Coldcard 41分钟蒸发7000万美元，CZ警告：硬件钱包也可能失效

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

Coldcard 钱包固件漏洞导致 7000 万美元比特币被盗，赵长鹏发出警告

Coldcard 钱包存在的一个固件漏洞，让攻击者得以盗走价值 7000 万美元的比特币（BTC），加密货币交易所币安创始人兼前首席执行官赵长鹏就此发出警告，指出冷钱包也并非绝对安全。

关键要点

研究人员在 7 月 30 日的一次 41 分钟扫描中，从 1,196 个钱包中追踪到了 1,082.65 枚比特币。赵长鹏建议持有者将资金分散到多个钱包中。制造商已发布修复后的固件，但用户必须更换由受影响版本生成的种子。

Coldcard 比特币被盗事件

Galaxy Research 和 Block 的研究人员在 7 月 30 日协调世界时 1 点 10 分至 1 点 51 分的一次扫描中，追踪到了来自 1,196 个钱包的这起盗窃事件。被盗总额达到 1,082.65 枚比特币，几乎是早期估计数字的两倍。

Galaxy 表示，这次活动涉及六个区块，其中三个区块没有相关转账记录，这表明攻击者是以批量方式广播交易。攻击者从未接触过这些设备。截至 8 月 1 日，被盗资金仍留在四个地址中。

漏洞始于 2021 年 3 月的一次软件变更，该变更将种子生成过程从原本的硬件随机数生成器路径，导向了一个可预测的备用方案。Coinkite 估计，Mk3 设备的有效安全强度约为 40 位，而后续受影响型号的有效安全强度约为 72 位。

赵长鹏的钱包安全警告

币安创始人兼前首席执行官赵长鹏表示，这一事件表明，长期运行的历史并不能消除软件风险。他写道：“即使是硬件钱包也可能存在漏洞。”他建议用户将资金分散到多个钱包中，同时也承认这种做法会带来不同的风险。

这种方法并非毫无风险。更多钱包意味着需要额外的备份和恢复流程，因此分散化虽然能降低集中风险，但同时也会增加操作失误的可能性。Coinkite 已为 Mk3、Mk4、Mk5 和 Q 设备发布了修复后的固件，但更新无法修复已存在的弱种子。该公司表示，至少需要 50 次手动骰子投掷才能单独保护种子免受此类漏洞的影响。其他受影响的用户应创建新种子，通过测试交易进行验证，然后再转移剩余资金。

Block 还将较旧的 Mk2 列为可能暴露的设备，而 Coinkite 的公告中没有提及该型号。用户无法直接测试种子，研究人员警告称，只要易受攻击的钱包中仍有资金，后续的扫描攻击就可能继续发生。

该漏洞于 2021 年 3 月进入 Coldcard 的种子生成过程，并一直存在于受影响版本中，直到 2026 年 7 月底紧急修复才得以解决。这五年的时间跨度解释了为何这一事件威胁到了较旧的钱包，这些钱包的所有者可能已将长期不活跃视为安全的证明。