Coldcard黑客在114百万美元盗窃后未动用87%的被盗比特币

超过87%的与Coldcard黑客攻击相关的比特币仍未动用，攻击者控制下的比特币数量为1,561 BTC，此次攻击造成的损失达1.147亿美元。
摘要

• Galaxy Research追踪到从8,865个地址被盗的1,789 BTC与Coldcard黑客攻击有关。
• 大约1,561 BTC，或87.3%的损失仍未动用。
• 一些来自后续攻击的比特币通过CoinJoin交易和剥离链进行了转移。
• Galaxy已将识别出的攻击者地址分享给交易所、合规公司和执法部门。

根据该公司研究负责人Alex Thorn在周一的X平台上发布的信息，Galaxy Research追踪到从8,865个地址被盗的1,789.28 BTC与Coldcard攻击有关。被盗时，这些比特币价值1.147亿美元，而Thorn估计其当前价值约为1.388亿美元。

📊 Coldcard攻击的更新数据

8865个地址损失1789.28 BTC，按被盗时计算价值1.147亿美元（今天价值1.388亿美元）

-- 按地址损失

中位数 0.00152
平均值 0.20184
冻结中位数 3.2年
冻结平均值 3.6年

-- 按受害者报告损失（221）

中位数 1.04272
平均值 3.57792
冻结... pic.twitter.com/d2R29dYyco
--- Alex Thorn (@intangiblecoins) 2026年8月24日

在总数中，1,561 BTC，或87.3%，尚未被花费，仍在攻击者控制的收集或持有地址中。与前三波已识别的攻击相关的所有比特币也未动用，这为研究人员提供了被盗资金大部分存放位置的链上记录。

一些来自后续攻击的资金已开始转移。Thorn表示，攻击者使用了CoinJoin交易、剥离链和其他旨在使比特币在地址间转移更难追踪的方法。

Coldcard黑客攻击的大部分比特币仍可追踪

Galaxy的最新数据包括地址级分析和受害者直接提交的信息，研究人员继续绘制与该攻击相关的钱包。

根据Thorn分享的数据，在该公司识别的8,865个地址中，中位损失为0.00152 BTC，平均损失为0.20184 BTC。受影响的比特币在被盗前也已沉寂很长时间，中位地址沉寂期为3.2年，平均为3.6年。

受害者报告显示，个体损失更为严重。Galaxy已收到221份报告，涵盖790.72 BTC，相当于与该攻击相关的总比特币的44.2%。报告的中位损失为1.04272 BTC，平均损失为3.57792 BTC。

Thorn单独澄清，中位数意味着至少221名报告的受害者中有一半损失了1 BTC或更多。这些报告中涉及的比特币在被盗前的沉寂期中位数为3.25年，平均沉寂期为2.99年。
你可能还喜欢：Coldcard盗窃：FBI可能知道1,082 BTC攻击者

确认的损失总额可能未涵盖与该事件相关的所有损失。Thorn表示，包括尚未确认的中等置信度地址在内的估计将增加到约1,824 BTC，按当时的盗窃计算价值约为1.4亿美元。

早期的估计随着研究人员识别出更多受害者地址和攻击模式而发生变化。TRM Labs在8月5日表示，此事件涉及几波攻击，始于7月30日，并追踪到固件问题，这一问题削弱了生成某些Coldcard钱包种子的随机性。

根据TRM Labs的说法，2021年3月通过固件引入的构建配置错误导致受影响设备回退到较弱的软件随机数生成器，而不是完全依赖硬件生成的熵。安全公司表示，导致的密钥强度可能低到可以通过暴力计算恢复私钥，而无需物理访问钱包。

攻击者开始掩盖一些后期盗窃行为

虽然最大的持有量仍然停留在原地，但Galaxy发现后期攻击中被盗资金的交易行为有所不同。

CoinJoin可以将多个参与者的交易合并，使得将单个输入与其最终输出连接起来变得更加困难。剥离链涉及将较大余额中的较小金额反复转移到新地址，从而为调查人员创造更长的交易轨迹。

Galaxy继续追踪这些资金流动，同时与加密货币交易所、合规公司和执法部门分享已识别的攻击者地址。Thorn表示，这一努力可能使集中式平台能够识别并潜在地冻结被盗的比特币，如果攻击者最终将资金发送到可以拦截账户或交易的服务中。

前三波的资金缺乏流动性对追踪工作尤为重要，因为相应的比特币尚未经过后期活动中观察到的混淆技术。因此，研究人员可以继续监控已知地址的外发交易。

在八月初，TRM Labs还报告称，大多数被盗资金集中在少数攻击者控制的地址中，当时几乎没有后续流动。不同攻击波之间的交易结构差异使得该公司表示可能涉及多个攻击者，尽管并未将此次攻击归因于任何特定行为者。

Coldcard安全专注于离线密钥存储

这一事件引起了人们对专门围绕比特币自我保管构建的硬件钱包品牌的关注。

在五月，crypto.news曾报道Coinkite发布了Coldcard MK5，这是自2022年MK4发布以来旗舰MK系列的首次硬件修订。该设备保留了双安全元件设计，使用来自两家芯片制造商的组件，并继续支持空气隔离的交易工作流程。

MK5还引入了更大的Gorilla Glass显示屏，重新设计的物理按钮和改进的NFC功能。Coinkite当时表示，该设备继续使用开源固件，同时保持其比特币专用设计。

在Coldcard损失浮出水面之前，钱包安全已经引起了更多关注。七月，Coinspect披露了一种被称为“Ill Bloom”的弱点，涉及多个软件钱包在恢复短语生成过程中随机性差。该安全公司表示，到七月初，约有500万美元已从暴露的钱包中转移，尽管硬件钱包似乎未受到该特定问题的影响。

弱随机性在加密货币钱包中可能变得特别危险，因为种子短语最终决定了控制资产的私钥。如果用于创建种子的随机输入包含的熵过少，拥有足够计算资源的攻击者可能能够搜索可能组合的减少范围。

硬件钱包风险引发新的审查

今年夏天其他钱包安全事件涉及不同的攻击方法。

Ledger的Donjon研究人员在七月展示了一种针对Tangem钱包卡的激光攻击，可能重置其密码并允许签署交易。Tangem表示，该方法需要对卡的物理占有、专业知识和价值约25万美元的实验室设备，使得该攻击与可远程利用的钱包弱点不同。

链上调查员ZachXBT在七月也批评了硬件钱包，表示他不认为现有设备适合签署关键交易或持有大量加密货币。他的评论代表了个人评估，并未与当时新硬件妥协的证据相关联。

Coldcard事件涉及一个不同的故障点，因为研究人员将盗窃与受影响设备上的种子生成联系在一起。TRM Labs表示，安装更新的固件并不能修复最初以弱随机性生成的种子，这意味着受影响钱包的用户需要在安全硬件上生成一个新的种子，并将他们的比特币转移到从中派生的地址上。

对于调查人员来说，被盗的比特币本身仍然是主要的证据来源。Galaxy继续向交易所、合规公司和执法部门分发确认的攻击者地址，同时监控尚未离开攻击者控制的收集和持有钱包的1,561 BTC。
阅读更多：Monad提议针对密码、恢复和量子安全进行钱包升级