Coldcard官方账号遭钓鱼攻击，未授权发帖原因待查

硬件钱包制造商Coldcard正在调查其官方社交账号在周日发布钓鱼链接的事件。尽管自2017年起实施离线双重身份验证和严格权限管理，该账号仍被用于传播**的安全警告，引导用户访问仿冒网站。相关帖子已被删除，但已引发用户对资产安全的担忧。Coldcard强调，coldcard.com是**官方渠道，呼吁用户切勿点击可疑链接。

为何此次攻击尤为危险？

该钓鱼内容谎称Coldcard种子生成存在新漏洞，要求用户通过第三方网站迁移比特币。安全分析显示，该欺诈页面旨在获取用户的12或24个单词恢复短语及密码短语。一旦提供，即等同于将钱包控制权**交予攻击者。这并非针对设备固件的远程攻击，而是典型的社会工程学手段，与近期其他硬件钱包**高度相似。

历史漏洞加剧信任危机

此次攻击时机敏感，因冷卡在2021年曾出现真实固件缺陷，导致部分设备生成的私钥随机性不足，被攻击者利用。2023年7月起，攻击者开始扫荡受影响钱包，截至8月25日，累计追踪到8,865个地址，涉及约1,789.28 BTC，价值超1.147亿美元。虽然本次钓鱼帖与此前漏洞无技术关联，但其语言设计模仿了真实安全通告，容易误导曾受过迁移通知影响的用户。

账户异常：无登录记录成关键疑点

Coldcard表示，其账户自2017年以来采用离线双因素认证，且审查未发现与该发帖相关的登录、会话或访问记录。这一现象排除了常规账户被盗的可能性，但并未排除其他路径，如凭证泄露、授权应用滥用、员工误操作或平台级漏洞。公司已向X平台申请保留日志并展开调查，目前尚无法确认具体原因。

用户应如何应对？

即使企业账号已验证，也不能自动视为指令可信。所有安全通知必须通过官网独立核实。对于长期持有者而言，识别假冒公告已成为自我托管安全的核心环节。若攻击者能以权威身份诱使用户主动提交恢复短语，即便设备本身安全，资产仍可能损失。

后续关注**

未来最需关注的是Coldcard对事件根源的披露。若确认为孤立的账号管理失误，则影响范围有限；若**通信流程漏洞，则可能波及更多机构。截至目前，尚未有公开验证的财务损失报告。而历史数据显示，多数被盗资金仍停留在攻击者控制地址中，进一步凸显防范虚假迁移指令的重要性。