Coldcard 硬件錢包遭入侵：失竊 1,359 枚 BTC，成 2026 年最大比特幣盜竊案

BlockBeats 8 月 3 日報道，最新資料顯示，Coldcard 硬件錢包遭黑客入侵事件中，累計有 1,359 枚比特幣被盜。亦有用戶反映，裝置更新後出現卡在錯誤頁、無法開機，甚至疑似"變磚"等情況。事件被視為今年迄今最大宗比特幣失竊案。 BlockBeats 整理的時間線指出，分析認為被動手腳的 Coldcard 韌體代碼早於 2021 年 3 月釋出；相關漏洞在開源代碼內存在逾 5 年，影響 Mk3（以及部分 Mk2）的助記詞種子生成，並波及修補前的 Mk4、Q 與 Mk5 型號。利用該漏洞的大規模攻擊持續至 2026 年 7 月 30 日。攻擊者在約 25 至 41 分鐘內自動化掃掠，針對數百至數千個地址。 初步估算約 500 個單簽錢包、1,324 個 UTXO 受影響，合計約 594.5 枚 BTC；其後鏈上分析將範圍擴大至約 1,196 個地址，累計 1,082.65 枚 BTC（約值 7,020 萬美元）。鏈上特徵顯示，攻擊優先挑選餘額較大的地址，採用固定較高礦工費，且不產生找零輸出，把資金快速集中至少數地址。 Coldcard 開發商 Coinkite 隨後發出安全公告，初步確認種子生成問題影響 Mk3（韌體 4.0.1 及其後版本），並建議受影響用戶審慎遷移資產；同時推測攻擊者或利用 AI 檢視開源代碼以定位漏洞。 截至 8 月 2 日，Galaxy 研究主管 Alex Thorn 表示，圍繞 Coldcard 的攻擊仍在演變，更多小規模攻擊者及模仿者正嘗試鎖定尚未處理的 Coldcard 助記詞。 事件亦引起多方關注。彭博 ETF 資深分析師 Eric Balchunas 指出，Coldcard 團隊僅 5 名員工，對一間影響力如此之大的公司而言規模偏小。CZ 評論稱："在自我託管模式下，即使開發者修補漏洞，也無法修復已生成的錢包；對使用隔離設備的用戶，開發者亦無法直接聯絡或提醒。除非用戶主動採取行動，受影響錢包可能長期暴露在攻擊風險之下。我支持自我託管，但這也意味用戶須對自身安全負全責。" 鑑於事件或牽涉 AI 對加密設備帶來的風險，機構託管平台 BitGo 率先採取行動，嘗試修復市場信心。8 月 1 日，BitGo 行政總裁 Mike Belshe 向一個公開可見的比特幣地址存入 100 枚 BTC，並邀請 Anthropic 的 Claude 模型嘗試轉走資金。BitGo 表示，其平台採用多簽或多方計算（MPC）技術，把簽名權限分散至多個獨立密鑰。至 8 月 2 日，Anthropic 尚未就挑戰作出公開回應。 市場方面，比特幣自 7 月 31 日以來走勢偏弱，價格由 65,000 美元回落至 63,000 美元。