Galaxy：Coldcard 漏洞披露前約30小時　1,196個錢包遭盜走1,082.65枚比特幣（約7,020萬美元）

硬件錢包一向被視為加密資產保安的"金標準"：私鑰離線保存，遠離黑客、交易所及任何連網系統。Galaxy Research指出，部分Coldcard Mk3用戶的這個前提出現致命缺口。 報告稱，2026年7月30日，攻擊者在約41分鐘內，從1,196個錢包轉走合共1,082.65 BTC，按當時估值約7,020萬美元。事件發生在Coldcard開發商Coinkite公開披露裝置韌體存在嚴重漏洞前約30小時。 漏洞核心在於隨機數生成器（RNG）。受影響的是Coldcard Mk3韌體4.0.1至5.0.3版本。硬件錢包在初始化時會生成助記詞／復原種子（recovery seed），本質上是由一組隨機數推導出的"主密碼"。若隨機性不足，種子可能變得可預測，攻擊者便可在不接觸實體裝置的情況下推算私鑰並盜取資產。 Block旗下工程團隊亦獨立定位到RNG缺陷根因，並在Coinkite發布安全公告同日發表詳盡報告。兩項披露同樣落在2026年7月30日，但當日相關錢包已被清空。Coinkite強調，問題並非影響所有Coldcard裝置，只限於運行上述受影響韌體版本的設備；公司呼籲受影響用戶立即重新生成全新復原種子，並把資金轉移至新地址。 攻擊手法的效率引人關注：要在41分鐘內掃走近1,200個錢包、總值逾7,000萬美元的比特幣，不可能靠人手逐一操作，顯示背後涉及自動化工具、事前偵察，以及預先整理好的易受攻擊地址清單。鏈上數據顯示，受害錢包在遇襲前長時間處於休眠狀態，意味不少受影響者可能是多年未動的長線持有人，因信任硬件錢包而一直不作轉移。 資金被盜後迅速被歸集至較少地址。Galaxy的研究指出，其中一個地址在掃掠過程中接收約594 BTC。 最敏感的問題在於時間差：資金被盜發生在Coinkite公開披露前約30小時，市場勢必追問"漏洞在何時被誰掌握"。可能性之一是攻擊者自行發現RNG缺陷並在官方披露前先下手。現階段Coinkite及Galaxy均未指稱披露流程存在不當；Coinkite的公告亦未就攻擊者是否事先知情作出判斷，而是集中要求用戶即時行動、生成新種子並核對裝置韌體版本。 對硬件錢包用戶而言，事件提醒非常直接：韌體更新並非外觀或小修小補。RNG一旦出錯，等同動搖密鑰生成的根基，屬接近災難級的漏洞。任何硬件錢包用戶都應掌握自己運行的韌體版本，並定期查閱廠商是否發布安全公告。此次約7,020萬美元的大規模、短時間掃掠，亦反映攻擊者具備足夠技術能力利用RNG漏洞、配備可同時針對近1,200個錢包的自動化基建，並能在披露窗口前迅速完成行動。