Coldcard再遇第4波有組織攻擊：14個區塊內失竊388.9枚BTC

Galaxy Research研究主管Alex Thorn指出，Coldcard用戶正面對第4波有組織盜幣行動，規模已遠超零星個案。鏈上數據顯示，攻擊者在區塊高度960,778至960,792的14個區塊內，從462個受害地址轉走約388.9枚比特幣（BTC）。 是次事件共觸發218宗交易，資金被集中導向216個此前未見的新地址；交易量一度飆升至事發前基準的約45倍，顯示行動具高度計劃性及自動化特徵。原始報告亦提到，部分失竊資金已被追蹤到第二跳（second-hop）地址；同類交易仍在mempool排隊，意味資金清掃未完全結束。 值得注意的是，已確認的鏈上交易帶有Replace-by-Fee（RBF）選項的opt-in訊號，為少數能及時察覺的受害者提供有限逃生窗口：若資金外流交易仍未確認，且錢包支援RBF，或可透過提高費用提交替代交易，搶先把資金轉到安全地址。不過這要求用戶具備一定技術操作能力，且時間極為緊迫；對大多數受害者而言，資金很可能已無法追回。 與一般機會性盜竊不同，本輪攻擊的特徵在於速度與協調：462個地址在極短區塊窗口內被同時清空，並迅速整合到全新地址，配合異常放大的交易量，較像預先編寫的腳本批量執行，而非手動操作。事件發生於週末，亦可能趁用戶未有即時監察交易而加速得手。Galaxy Research同時指出，資金已被轉至第二跳錢包，令後續追蹤及取回難度大增。 Galaxy Research表示，這並非Coldcard用戶首次遭遇系統性攻擊。較早前三波攻擊行動合共從4,585個地址抽走1,367.05枚BTC，按當時幣價計約值8,860萬美元。先前事件促使Coldcard承認，其韌體曾存在漏洞，攻擊者可從受影響裝置生成的種子（seed）推導出私鑰。該硬件錢包廠商其後暫停出貨，並銷毀所有仍搭載脆弱韌體的COLDCARD庫存；Satscard、Opendime及Tapsigner則不受影響。 Coldcard已推出修補後的韌體，可保護新生成的種子，但修補不具追溯力：任何在脆弱韌體上生成的seed仍屬已被攻破。公司給出的指引相當直接——必須在已修補韌體上重新生成新seed，並立即把所有資產由舊seed轉走。第4波攻擊顯示，仍有不少用戶未完成遷移，令攻擊者得以持續、有系統地「收割」餘額。 市場亦關注自託管（self-custody）的更廣泛風險。事件不僅是硬件缺陷，更凸顯供應鏈與產品生命週期風險：用戶高度依賴廠商出廠韌體，即使有開源驗證流程，實際上亦可能被忽略；一旦seed生成問題長時間未被發現，事後清理往往耗時且混亂。四波攻擊相隔數月仍能持續，反映攻擊者具耐性，且可能掌握將seed對應到地址的可靠方法，或源於弱隨機性期間的資料外洩或清單。 目前仍未明朗的是：攻擊者掌握的是完整的受影響seed清單抑或僅部分資料，以及是否仍存在Coldcard未披露的更早期韌體漏洞。由於攻擊具持續性，本輪462個地址或僅是最新一批；若清掃行動繼續，總損失仍有上升空間。對整個硬件錢包市場而言，事件再度提醒：韌體審計與透明披露漏洞不是選項，而是安全承諾的核心。