Coldcard紧急警告：钱包漏洞致1.14亿美元被盗，用户需立即转移比特币

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

比特币硬件钱包生态系统正面临一个罕见且危险的时刻。Coldcard 制造商已确认，一个仍在从特定设备中盗取资金的漏洞利用目前已导致约 1.14 亿美元的损失，截至本周二，该漏洞仍未修复。根据原始报告，该公司正告知用户立即将比特币从易受攻击的硬件上转移出去。

这一警告发出之前，Coldcard 用户已连续数周焦虑升级。该漏洞利用似乎针对特定的固件版本和硬件配置，绕过了硬件钱包作为自我托管基石所依赖的正常安全检查。与网络钓鱼攻击或种子短语泄露不同，这是一种对设备层的直接攻击，使得“保持私钥离线”的常规建议变得不那么可靠。该漏洞可能与固件相关，这解释了为什么有些设备不受影响，而另一些则资金被盗。

规模与沉默

比特币安全社区——通常在论坛和社交媒体上活跃——以混合着警惕和务实的态度作出了回应。长期使用 Coldcard 的用户正在分享余额被盗的经历，而其他人则在争论该设备的开源固件是否本可以更早发现这个漏洞。Coldcard 尚未公开透露哪些型号存在漏洞、漏洞利用的工作原理，或者是否即将推出修复方案。这种保密可能出于操作上的考虑：公开技术细节可能会为攻击者提供模板。然而，这也让用户陷于焦虑的不确定性之中。

多年来，Coldcard 一直是比特币极端主义者的最爱，他们珍视其气隙设计和仅支持比特币的固件。该设备被宣传为最偏执持有者的“堡垒”。如今，这个堡垒出现了裂缝，而制造商关于补丁时间表的沉默引发了猜测：根本原因可能很深，或许与供应链漏洞或数月前固件更新时引入的缺陷有关。

更广泛的自我托管困境

硬件钱包漏洞利用并非新鲜事——此前 Ledger 和 Trezor 的设备也曾遭遇过——但此次的规模值得注意。Coldcard 事件凸显了一个持久的矛盾：自我托管被广泛宣传为交易所风险的解药，但同时也将技术责任集中到了单个用户身上，而用户可能缺乏评估设备完整性的专业知识。长期以来，行业一直假设一个正确制造且更新到最新版本的硬件钱包能够抵御远程攻击。这一假设如今正受到严重挑战。

立即将资金转移到另一个钱包（通常是智能手机上的热钱包）的建议，引入了另一组风险。逃离受损硬件设备的用户可能会将私钥暴露在安全性较低的环境中。这是在已知威胁和未知威胁之间做出权衡，而安全从业者只能根据普通用户难以判断的因素来权衡这个决定。

仍不确定的因素

目前尚不清楚该漏洞利用是否可以通过远程触发，是否需要物理接触，或者是否利用了交易签名过程中使用的配套软件中的漏洞。缺乏明确性使防御措施变得复杂。除了完全迁移资金，如果硬件本身在引导加载程序层面已被攻破，那么即使固件更新也可能不够。一旦威胁得到控制，Coldcard 需要发布一份全面的技术事后分析报告——就目前而言，这可能需要几天或几周的时间。

受影响的用户能否通过链上追踪或法律干预追回部分被盗资金，仍是一个悬而未决的问题。比特币的透明账本有助于追踪资金流向，但假名性使得执法困难。历史上，硬件钱包漏洞利用的个体受害者很少能获得赔偿。对硬件钱包销售（尤其是针对比特币原生用户群体）的更广泛影响，可能完全取决于 Coldcard 的响应速度。

制造商的讯息直截了当，尽管对细节保持沉默：如果你拥有易受攻击的设备之一，请假设它已被攻破，并在你成为这日益增长的损失案例中的下一个受害者之前，转移你的比特币。