加密新闻

对Coldcard硬件钱包的大规模攻击导致了1778.84 BTC的损失，约合1.127亿美元。根据我对调查数据的分析，攻击者利用了熵生成过程中的一个关键漏洞，这使即便是最“安全”的存储方式也受到了质疑。

攻击剖析：问题根源在于2021年的固件

研究人员确认，超过8600个地址的资金被盗，并与190名受害者取得了联系。然而，实际损失可能更高：考虑到未经确认的事件，损失估计为2417.35 BTC（约1.53亿美元）。攻击始于2026年7月30日，当时黑客开始系统性地恢复由存在漏洞的设备生成的助记词。

原因在于Coinkite在2021年更新固件时犯下的错误。修改后的加密熵生成机制运行不正确，导致使用了不够可靠的随机源。这使得拥有足够计算能力的攻击者能够重现私钥。值得注意的是，这个问题存在了多年，但直到现在才显现出来，这凸显了长期资产存储中隐藏的风险。

攻击停止与多重痕迹

最后一次确认的攻击链可追溯到8月6日。此后未再记录到新的事件，可能是因为持有者转移了资金，或者大部分可用的代币已被盗走。重要的是，攻击者不止一个，而是至少有多个——Galaxy发现了33条独立的活动痕迹，这表明漏洞是被协调利用的。

被盗资金的去向

在确认的1778 BTC中，约1531 BTC仍留在黑客的地址上，而246 BTC已被转移。其中约65%的资金经过了CoinJoin交易，增加了追踪难度，35%则通过典型的洗钱方案Peel Chain。部分代币出现在中心化交易所和跨链桥上，相关地址列表已提交以进行封锁。

对自我托管叙事的打击

这一事件不仅仅是财务损失。受害者是自我托管的模范支持者：他们没有使用可疑的服务，而是信任硬件钱包。结果，对这种模式的信任受到了损害。攻击开始后，向交易所的转账急剧增加：四天内流入超过22000 BTC，到8月8日，平台上的余额达到了历史最高点368.3万BTC。这表明对漏洞的恐惧如何可能逆转去中心化的趋势。

多重签名作为解决方案

值得注意的是，没有一次确认的盗窃是从多重签名地址发生的。Casa和Anchorwatch服务记录了对此类解决方案的兴趣激增。然而，正如Unchained联合创始人Dhruv Bansal正确指出的那样，问题不在于托管，而在于单点故障——无论是交易所、制造商还是用户本身。这一事件促使人们重新考虑存储方式，倾向于在多个密钥之间分散风险。

AI在攻击中的作用

值得特别关注的是AI可能的使用。Galaxy推测，部分攻击者使用了没有网络安全限制的中国开源LLM。这是一个令人担忧的信号：AI寻找漏洞的能力不仅对防御者可用，也对攻击者可用。与此同时，Bitcoin Red Team的研究人员遇到了相反的问题——美国AI公司的限制阻碍了他们使用强大的模型进行防御。

我的评论：这一事件对整个行业来说是一记警钟。即使是最可靠的硬件钱包，如果其固件包含隐藏缺陷，也不是绝对的保护。我认为，未来我们将看到审计标准的收紧，以及多重签名解决方案成为新的安全标准。1.12亿美元的损失是市场为过度自信付出的代价。