web3: Coldcard漏洞被盗金额升至8860万美元

比特币硬件钱包 Coldcard 的安全事件仍在扩大。Galaxy Research 最新追踪显示，攻击者已分三轮转走约 1367 枚 BTC，按当前价格计算约合 8860 万美元，涉及 4585 个地址。

最新一轮再转出 207.73 枚 BTC

Galaxy Research 表示，最新一轮转移发生后，被盗总额继续上升。该机构称，攻击仍在持续，持有 Coldcard 单签资金的用户应尽快转移资产。

Galaxy 还表示，已将约 600 个疑似攻击者地址提交给联邦调查人员、合规机构和跨行业网络安全调查方，以协助后续排查。

问题指向 2021 年固件错误

这次事件的根源，被指向 Coinkite 在 2021 年 3 月的一次固件构建错误。报道显示，该问题导致设备生成助记词时随机性不足，使部分私钥存在被猜测的风险。

Galaxy Research 负责人 Alex Thorn 认为，这些资金清扫行为具有明显的程序化特征，并称所有在那次固件问题后生成的单签 Coldcard 地址，都可能在未来被继续清空。

长期未动持仓开始集中迁移

Galaxy Research 提到，受害地址中的比特币在被盗前平均静置约 3.18 年，说明不少受影响用户属于长期持有者。目前三轮攻击中转出的资金仍停留在攻击者控制的地址中，尚未继续转移。

事件发酵后，一些用户开始把比特币从自托管钱包转回 Coinbase、Binance 等中心化交易所，或转入新生成的钱包地址。加拿大用户 Jonathan Goodman 称，自己在 7 月 29 日的 7 分钟内损失了 18.25 枚 BTC，约合 160 万加元，并已向警方和安大略证券委员会报案。