加密新闻

一场针对Coldcard硬件钱包持有者的大规模攻击行动，已成为数字资产自主托管领域最严重的事件。据我所知，这场始于2026年7月30日的攻击，已确认造成的损失至少为1778.84 BTC——按当前汇率计算约合1.127亿美元。而实际损失可能更高：考虑到未确认的案例，涉及金额可能达到2417.35 BTC（约1.53亿美元）。

问题根源：有缺陷的熵生成器

分析表明，原因是Coinkite于2021年发布的固件中存在一个严重错误。该更新改变了加密熵的生成机制，但由于漏洞，随机数生成器运行异常，悄然切换到了不够可靠的随机源。这使得拥有强大计算能力的攻击者能够重现易受攻击设备上生成的私钥。该问题存在多年，但直到现在才开始被利用。

攻击时间线与规模

研究人员已联系了190名受害者，并确认超过8600个地址上的资金被盗。最后一次确认的攻击链发生在8月6日，此后未再发现新的入侵案例。这要么是因为用户及时撤出了资金，要么是因为可利用的资产池已经耗尽。需要强调的是，这次攻击并非孤立事件——至少发现了33条活动痕迹，表明多个团伙同时利用了该漏洞。

被盗资金的流向

在已确认的1778 BTC中，约1531 BTC仍留在攻击者的地址上。其余246 BTC已被转移：其中65%通过CoinJoin交易进行了洗钱，这严重阻碍了追踪；35%则通过Peel Chain模式（经典的洗钱手法）处理。还有一小部分出现在中心化交易所和跨链桥上，因此相关地址列表已移交给合规部门和执法机构。

对自主托管理念的冲击

这一事件不仅打击了钱包本身，也打击了自主托管这一理念本身。受害者并非缺乏经验的用户，而是对安全极为重视的人：他们没有使用可疑的DeFi协议，也没有追逐高收益。他们信任的是被视为黄金标准的硬件钱包。市场的反应是即时的：攻击发生后的头四天内，超过22000 BTC流入交易所，截至8月8日，各平台的累计余额达到历史最高点368.3万BTC。

多重签名成为新标准

值得注意的是，没有任何一起已确认的盗窃案涉及多重签名地址。这引发了人们对多重签名解决方案的浓厚兴趣——Casa和Anchorwatch等服务报告客户数量大幅增长。然而，正如Unchained联合创始人德鲁夫·班萨尔正确指出的那样，将托管与非托管服务对立起来是错误的。问题的本质在于单点故障，无论是交易所、制造商还是用户本身。这一事件迫使人们重新思考：在多个密钥和独立基础设施组件之间分散风险，已不再是一种选择，而是一种必要。

AI在攻击中的角色

AI可能被使用这一点尤其值得关注。部分攻击者似乎使用了中国开源的、在网络安全方面没有限制的大语言模型。这是一个令人担忧的信号：发现和利用漏洞的能力不再只属于研究人员，攻击者也能获得。值得注意的是，开始对生态系统代码库进行大规模审查的Bitcoin Red Team团队遇到了相反的问题——美国AI公司的限制阻碍了他们使用最强大的模型来进行防御。

我的结论：这一事件不仅仅是技术故障，而是对整个行业的系统性挑战。它表明，即使是最看似可靠的解决方案也可能包含隐藏的缺陷，而对单一设备的信任是一种不能再忽视的风险。在2026年上半年因黑客攻击造成创纪录的11亿美元损失的背景下，这一案例应成为向多层次安全方案过渡的催化剂。