Coldcard漏洞致1.3亿美元比特币被盗，用户活动激增

区块链文库报道：

Coldcard硬件钱包关键漏洞致超1.3亿美元比特币被盗

Coldcard硬件钱包出现的一个关键固件漏洞，已导致超过1.3亿美元比特币被盗，成为2026年迄今第三大加密货币黑客事件。

弱密钥生成导致硬件钱包受损

由Coinkite开发的广泛使用的比特币硬件钱包Coldcard，因2021年3月引入的一次重大安全疏忽而遭受攻击。研究人员发现，一次固件更新削弱了受影响设备中助记词生成的随机性。这一缺陷将钱包密钥的加密强度从128位降至仅40位，使得攻击者能够利用暴力破解手段进行攻击——且无需接触物理设备。

根据Galaxy Digital的分析，该漏洞已被用于至少三次独立的攻击波次，影响约7,300个钱包。该公司还警告称，有迹象表明第四轮协同攻击可能正在进行中，引发了对潜在进一步损失的担忧。

此次安全漏洞是今年最严重的加密货币软件事件之一，随着新攻击的不断曝光，损失仍在持续增加。

用户应对导致网络活动激增

区块链分析提供商Glassnode报告称，比特币每日活跃地址数飙升至近98万，达到2024年12月以来的最高水平。这一激增似乎与漏洞消息传出后用户为保障资金安全而进行的大规模操作有关，无论是大额持有者还是普通用户都出于谨慎将比特币转移至更安全的钱包。Glassnode指出，交易量的上升反映的是操作层面的安全措施，而非市场情绪的重新高涨。

大量资金在比特币网络上转移，其中包括来自此前沉寂钱包的资金。分析人士观察到，随着安全担忧在用户群中蔓延，涉及金额近乎初始被盗资金200倍的沉睡持有量发生了易手。

7月31日的一起重大事件中，单一攻击盗取了594枚比特币，按当时价值约合3,800万美元。Galaxy Research随后确认，总损失价值已超过1,596枚比特币，且随着协同攻击手法的演变，经济损失仍在攀升。

被盗资金通过隐私平台洗钱

区块链安全公司CertiK记录到，大量被盗比特币被转移至旨在混淆交易踪迹的混币服务。至少有64枚比特币（价值417万美元）被发送至热门隐私混币平台Wasabi。攻击者还将部分资产兑换为以太币，将200枚以太币（约38万美元）通过Tornado Cash（一种匿名化区块链交易的服务）进行转移。

CertiK分析师表示，部分可疑交易可能与本次主要攻击团伙无关。该公司指出：“初始漏洞出现后，很可能出现了一些模仿者。”

另一家数字资产情报公司TRM Labs表示，大部分被盗资金仍集中在少数几个由攻击者控制的地址中。根据各轮攻击中使用的不同手法，调查人员确定了至少15个不同的黑客参与者。

AI安全系统20分钟内发现漏洞

Dragonfly管理合伙人Haseeb Qureshi指出，由人工智能驱动的自动化安全系统在短短20分钟内便发现了该漏洞。他强调，基于AI的低成本测试本可以识别这一缺陷，这暗示着本可以仅花费约两美元的成本就采取预防措施，但机会被错过了。

网络安全专家紧急建议，任何使用受影响的Coldcard硬件生成钱包的用户应立即创建新钱包并转移资金。简单的固件更新不足以解决已受损的助记词生成漏洞。

根据链上确认的损失，Coldcard事件位列2026年第三大加密货币黑客攻击，仅次于今年发生的两起主要交易所安全漏洞。