Coldcard 錢包疑現第四波攻擊　約 449 BTC 或受威脅

區塊鏈研究員 Alex Thorn 於 8 月 3 日警告，針對存在弱熵（weak-entropy）問題的 Coldcard 生成比特幣錢包，疑似已出現第四波攻擊，短短約兩個半小時內，近 449 BTC 從數百個地址被"掃走"。Thorn 發文時指相關活動仍在進行，最新一輪被視為延續先前三波、且研究人員已將其與同一漏洞關聯。 Thorn 表示，最新分析在比特幣區塊 960778 至 969792 之間，發現 218 宗交易，涉及 462 個疑似受害地址。交易合共轉出 388.93 BTC，按現價約值 2,440 萬美元，轉入 216 個收款地址；當中幾乎全部為新建立、過去沒有交易紀錄的地址。 他寫道："這些很大機會是 Coldcard 受害者——其 UTXO 形態與 Coldcard 弱熵漏洞相符，加上交易模式異常活躍，令我高度相信這是另一波攻擊。"不過，Thorn 強調暫未獲受害者直接確認，因此刻意以"likely"（很可能）作保守表述。 Thorn 其後亦迅速修正收款地址清單，剔除 6 個地址，原因是它們在 7 月 30 日 Coldcard 事件開始之前已長期接收及花費 BTC；該 6 個地址佔早前估算的金額逾 5 BTC。另有 89 個多重簽名（multisig）地址亦被他移除，因為前三波攻擊中未見相關類型地址出現。經整理後，核心名單剩餘 709 個地址，涵蓋已確認及仍待確認交易合共 448.73 BTC（約 2,810 萬美元）。 Thorn 呼籲用戶立即將資金從受影響的 Coldcard 裝置轉走，並提高交易費用。他同時提醒部分待確認交易啟用了 Replace-by-Fee（RBF），即仍停留在 mempool 的受害者交易，可能只有極短時間以更高費用"加價"搶先確認，從而在攻擊者交易入塊前爭取取回資金。 至於前三波已確認攻擊，Galaxy Research 估算合共抽走 1,367 BTC，約值 8,570 萬美元，涉及 4,585 個比特幣地址。該機構稱相關資金仍未被動用，仍停留在攻擊者控制的錢包內，顯示更像協同行動而非隨機盜竊。 不過，並非所有被盜 BTC 都原封不動。一名持有接近 30 BTC 的受害者，其中 17 BTC 經 ThorChain 轉移至 Duel 網上賭場；據報賭場要求受害者先報警，才會考慮凍結資金。 是次攻擊源於某些 Coldcard 韌體版本在生成種子（seed）時存在漏洞，影響 2021 年 3 月之後推出的部分韌體。Coldcard 生產商 Coinkite 證實，受影響的 Mk3、Mk4、Mk5 及 Q 裝置上所建立的種子均有暴露風險。雖然已推出修補韌體，可避免未來新種子再受影響，但無法為既有舊種子"補救"。Coinkite 又表示，已銷毀所有仍存的問題庫存、暫停出貨，並正與客戶及執法部門合作追查責任人。 公司同時建議用戶立即在未受影響裝置上遷移至新種子；Thorn 亦指出，在漏洞條件下生成的每一個單簽（single-signature）Coldcard 地址，最終都可能被逐一清空。