Coldcard 韌體漏洞疑致比特幣失竊擴大至 7,020 萬美元

【重點】Galaxy Research 表示，7 月 30 日 01:10:20 至 01:51:26（UTC）期間，共有 1,196 個地址資金被全數轉走，合計 1,082.65 BTC，按當時價格約 7,020 萬美元。Galaxy Research 指出，相關資金流向符合 Block 工程師辨識並由 Clay Garrett 分享的模式，據此把事件與 Coldcard 的一項漏洞聯繫起來。 Coinkite 早前提醒，用戶如在 Coldcard Mk3 裝置上使用 4.0.1 或以上版本產生種子（seed），資金可能面臨風險。其後，Coinkite 把安全通告擴展至部分 Mk4、Mk5 及 Coldcard Q 的韌體版本，並推出緊急韌體更新。Coinkite 行政總裁 Rodolfo Novak（NVK）於周五致歉，稱公司會為這次韌體漏洞承擔全部責任。 【為何重要】種子生成（seed generation）若出現弱點，裝置層面的韌體缺陷可直接演變為用戶自託管風險，尤其是把資產存放在受影響錢包中的持有人。 【市場情緒】偏淡；壓力升溫；事件驅動；去風險。 【原因】Galaxy Research 把逾 1,000 BTC 的被盜資金與 Coldcard 漏洞掛鈎，市場或視之為直接的自託管風險訊號。 【過往案例】2022 年，Solana 開發者曾追查到一宗錢包被盜事件與 Slope 手機錢包有關，截至 UTC 上午 5 時，受影響錢包接近 8,000 個。Slope 當時建議用戶建立新種子短語錢包並把資產轉移（The Block）。不同之處在於：Slope 為手機軟件錢包事件；今次涉及 Coldcard 硬件錢包韌體及比特幣種子。 【連鎖影響】若用戶認為受影響裝置的種子生成不可靠，自託管信心或受挫。若後續再出現來自同一批受影響種子的新增盜轉，部分用戶可能在更換錢包期間，把資金由自託管轉往其他託管方案。若緊急更新能有效阻止進一步盜轉，影響或仍局限於使用受影響種子的用戶群。 【機會與風險】 機會：若 Coinkite 的緊急韌體更新與更換新種子流程能阻止新增盜轉，先以小額測試交易驗證，再分段轉移資產，可視為較安全的復原做法。 風險：若未來仍出現針對 Coldcard 生成地址的攻擊，把舊種子視為已受破壞並停止沿用，有助降低進一步託管損失的暴露。