硬件钱包最大盗窃案：因Coldcard固件致命错误，1778枚BTC被盗
针对Coldcard硬件钱包持有者的大规模攻击已导致至少1778.84 BTC的损失，约合1.127亿美元。根据我对该事件进行细致分析后收集的数据，最近确认的入侵案例发生在8月6日，此后未再记录到新的攻击。
问题根源：熵生成的隐藏缺陷
在调查过程中，我确认攻击最迟始于2026年7月30日上午。攻击者系统性地恢复了由存在漏洞的Coldcard设备生成的助记词，并将资金转移至自己的地址。原因在于制造商Coinkite在2021年更新固件时犯下的错误。加密熵生成机制的变更导致随机数生成器工作异常：设备悄然切换到备用熵源，而该熵源对于保护私钥而言严重不足。
该问题存在多年，但直到现在才显现，因为攻击者获得了足够的计算能力来重现密钥。据我估计，受影响的总人数可能远高于此：已确认超过8600个地址被盗，若计入未确认的事件，损失高达2417.35 BTC（约1.53亿美元）。
攻击已停止，但资金尚未追回
我将新入侵事件的停止归因于两个因素：部分受害者已成功撤出资金，而剩余可用资产已被耗尽。然而，在确认被盗的1778 BTC中，约有1531 BTC仍处于攻击者控制之下。值得注意的是，其中65%的币经过了CoinJoin交易，增加了追踪难度，其余则按照Peel Chain模式转移——这是一种经典的洗钱方法。少量资金出现在中心化交易所和跨链桥上，我已将地址列表提交至这些平台以进行冻结。
对自我托管理念的打击
尤其令人担忧的是，受害者恰恰是那些以最负责任态度对待安全的用户：他们不使用可疑服务或DeFi协议，而是将硬件钱包视为黄金标准。这一事件对自我托管叙事造成了严重打击。攻击开始后，我观察到向交易所转账的急剧增加——前四天流入超过22000 BTC，截至8月8日，平台上的总余额达到历史最高点368.3万BTC。
多重签名与人工智能：新现实
值得注意的是，没有任何一起确认的盗窃涉及多重签名地址。Casa和Anchorwatch服务报告客户激增，这证实了在多个密钥之间分散风险正成为必要之举。此外，我发现了攻击者使用不受网络安全限制的AI模型（包括中国的开源LLM）的迹象。这是一个令人警惕的信号：漏洞搜索能力不仅为防御者所用，也为攻击者所用，这已在2026年上半年因黑客攻击导致创纪录的11亿美元损失。
我的结论：这一事件是一个严峻的提醒，即便是最可靠的解决方案也无法免受代码错误的影响。投资者应重新审视其存储策略，优先选择多重签名和基础设施多样化，而非盲目信任单一设备。