Galaxy Research：Coldcard 錢包漏洞遭利用，約7,020萬美元比特幣被盜並轉走至1,196個地址

Galaxy Research 表示，7月30日一宗針對 Coldcard 硬件錢包的攻擊在41分鐘內完成，共有1,196個與Coldcard相關的比特幣地址被清空，合共失去1,082.65 BTC，按當時市值約7,020萬美元。 報告指出，涉事交易發生於UTC時間01:10:20至01:51:26之間，橫跨6個比特幣區塊。事件發生後不久，Coinkite 才公開披露影響部分 Coldcard 裝置的韌體漏洞。Galaxy Research 補充，回溯過去30日鏈上資料，未發現其他符合相同特徵的交易。 Galaxy Research 指出，相關交易呈現高度一致的鏈上模式：每筆交易均支付相同的30.0 sat/vB手續費，且沒有找續輸出（no change output）。研究人員認為，固定費率及交易結構與一般比特幣整合（consolidation）行為不符，更像由單一自動化操作者批量執行。 按地址類型統計，被轉走資金的地址包括1,183個原生SegWit地址、7個BIP49地址及6個BIP44地址；Galaxy Research 認為，這種分佈符合自動化程式在多個錢包衍生路徑（derivation paths）進行掃描的特徵。交易亦非連續發生，而是以批次形式出現，在41分鐘期間有3個夾在中間的區塊沒有任何「掃走」活動。 資金流向方面，Galaxy Research 稱有4個比特幣地址接收了被盜資金；這些地址在完成初步歸集後至今未見再次轉移。 就漏洞本身，Coinkite 最初提醒用戶，問題影響在 Coldcard Mk3 裝置上、使用4.0.1及以上版本韌體生成的種子（seed）。其後公告範圍擴大至部分 Mk4、Mk5 及 Coldcard Q 的韌體版本，並推出緊急韌體更新。Coinkite 行政總裁 Rodolfo Novak 承認韌體缺陷責任並向用戶致歉，稱公司審核流程未能在發布前發現問題。他亦提到，人工智能可能有助更快找出漏洞，AI 輔助程式碼審查在識別軟件弱點方面或較傳統人手檢視更有效率。 Galaxy Research 警告，若用戶仍將資金存放於受影響的單簽名（single-signature）Coldcard地址，未來仍可能出現更多攻擊。該機構同時指出，未來盜竊未必延續今回可識別的鏈上模式；目前的模式只能將「最初攻擊者」串連起來，之後的非法轉帳可能在鏈上看起來與正常錢包轉帳無異，難以僅靠模式偵測。 Galaxy Research 建議用戶把資金轉移至可信託管服務，或採用多簽名自託管（multisignature self-custody）方案。Coinkite 亦建議用戶安裝已更新的韌體、重新生成新種子，先以小額轉帳測試錢包運作，並在完成遷移前保留舊備份。