Coldcard比特币漏洞利用金额飙升至8800万美元，攻击者持续掏空钱包

Coldcard硬件钱包漏洞持续被盗，损失约8800万美元

由Coldcard硬件钱包漏洞导致的比特币被盗事件仍在持续，研究人员目前追踪到的损失约为8800万美元，并警告称，所有存在漏洞的设备**都将被洗劫一空。

Galaxy Research上周六表示，已识别出第三波**行动，此次被盗金额为207.73枚比特币，使得其观测到的总被盗数量达到约1367枚比特币——约合8860万美元——涉及4585个地址。该公司称该漏洞利用行为仍在进行，并敦促**在Coldcard钱包上持有单签名资金的人立即转移资产。Galaxy表示，已向联邦调查人员、合规公司及跨行业网络调查人员标记了约600个疑似攻击者地址，并感谢分享交易细节的受害者，他们帮助绘制了链上模式。

Galaxy研究主管亚历克斯·索恩在X平台发文称：“我继续调查并将新的Coldcard受害者及攻击者地址添加到我们的调查数据库中。攻击仍在进行——如果你还没有将资金从Coldcard生成的地址中转移，请立即行动。”

该漏洞源于Coinkite设备在2021年3月的一次固件构建错误，导致种子短语生成时随机性严重不足，使得私钥可以被猜测。索恩写道，这些扫荡行为看起来是蓄意且程序化的，很可能是由大型语言模型策划的，并警告称，在2021年那次更新之后创建的所有单签名Coldcard地址**都将被清空，这只是时间问题。

索恩指出，被盗的比特币在被盗前已闲置多年——平均休眠期为3.18年——这表明受害者是长期持有者。三波记录在案的**行动中的资金仍停留在攻击者地址中，尚未转移。

这一事件引发了受影响用户的恐慌反应，安全专家建议在将资金转移到新地址时要谨慎。许多受影响的用户正争相将比特币从自我托管转移回**化加密货币交易所（如Coinbase或Binance），或转移到新生成的地址——这与该行业通常的“不是你的私钥，就不是你的币”的理念背道而驰。

对一些人来说，警告来得太晚了。加拿大教练乔纳森·古德曼在X平台发文称，7月29日，在七分钟内，他钱包里的18.25枚比特币（约合160万加元）被扫走，而他的私钥一直存放在从未接触互联网的保险箱中。他写道：“也许最令人难过的是，我做了所有正确的事情。”他补充说，他正在向警方和安大略省证券委员会提交报告。