Coldcard 疑似第四波攻击：为何仍有 462 个地址被清空？

Galaxy 研究主管 Alex Thorn 指出，似乎出现了第四波有组织的比特币盗窃浪潮，涉及由受影响的 Coldcard 固件生成的助记词种子。在区块 960,778 和 960,792 之间大约 2.5 小时的时间段内，研究人员观察到 218 笔交易，涉及 462 个疑似受害者地址、216 个新目的地以及 388.92748828 BTC。据报道，类似交易仍留在内存池中，而已确认的交易则启用了“费用替换”（RBF）功能。

这一活动表明，公开披露和紧急固件更新并未消除与之前生成的种子相关的风险。观察到的资金转移速率达到每区块 13.8 次，而事件发生前的控制窗口期为每区块 0.3 次——增加了约 45 倍。尽管如此，“第四波”仍然是基于链上模式的研究分类。证据并不能确凿地识别攻击者，也不能证明每一波攻击均由同一实体实施。

关键要点

• 疑似第四波攻击涉及 218 笔交易、462 个疑似受害者地址、216 个新目的地以及 388.92748828 BTC。
• 活动的集中性以及资金转移速率约 45 倍的增长，支持了这是系统性利用漏洞而非普通钱包迁移的解释。
• 主要为 1:1 转账、极少的目的地重用以及第二跳资金流动，可能表明一种更为分散的资金管理策略。
• 更新 Coldcard 固件无法修复现有的弱种子；可能受影响的用户必须通过修正后的流程生成新种子并迁移其资产。

疑似第四波攻击期间发生了什么？

根据 Thorn 的监控，最新的交易集群出现在比特币区块 960,778 和 960,792 之间。在大约 2.5 小时内，研究人员确定了 218 笔具有与持续发生的 Coldcard 事件相关特征的交易。这些交易涉及 462 个被归类为疑似受害者地址的地址、216 个新目的地地址以及 388.92748828 BTC。据报道，类似交易仍在内存池中等待确认，这表明观察到的时间窗口可能并不代表活动的结束。

此前已确认的交易也启用了 RBF，该功能允许用支付更高费用的版本替换未确认的比特币交易。RBF 是正常的网络功能，本身并不证明恶意意图。然而，在正在进行的大规模资金转移背景下，其使用表明发起交易的人正在积极管理确认优先级，并且如果出现竞争交易，可以提高费用。

报告的地址和数值数据需要谨慎解读。“受害者地址”是研究人员根据其交易行为以及与相关 Coldcard 固件边界的联系进行分类的地址；它不一定代表单个用户。一个钱包可能控制多个地址，一笔交易可能花费多个输入。同样，在此窗口期观察到的 388.92748828 BTC 不应自动添加到早期的损失估算中，直到研究人员确认这些地址、输入和转移的资金不与之前的集群重叠。

最重要的证据是活动的强度和一致性。研究人员计算出，在监控期间每区块有 13.8 次资金转移，而事件发生前的控制窗口期为每区块 0.3 次。如此急剧的增加很难仅仅解释为独立用户对安全警告的反应。据报道，这些交易也不包含早于相关 Coldcard 固件边界的输入，这加强了被转移资金与在受影响固件下创建的种子之间的关联。

因此，Galaxy 的评估基于时间、地址选择、交易构建和目的地行为的综合权重。没有任何单一特征是决定性的：合法用户可以在官方警告后启用 RBF、生成新的接收地址或同时迁移资金。当这些特征在数百个与固件相关的地址中以不寻常的规律性出现时，有组织攻击的解释变得更具说服力。

然而，链上分析无法直接揭示谁控制着私钥。一名攻击者可能会在不同波次之间改变交易策略，而多名操作者可能在漏洞公开后独立利用同一弱点。因此，Galaxy 将这些集群视为协调的攻击波次，但并未声称每一波都明确归因于同一实体。

新的交易拓扑揭示了什么？

疑似第四波攻击主要呈现 1:1 结构，即来自受害者地址的资金被发送到单独的新目的地。据报道，只有一个目的地接收了两次资金转移，且在初始监控期间没有出现明显的中央聚合地址。部分资金随后转移到第二跳地址。

这种结构与事件早期观察到的最清晰指纹不同。Galaxy 的分析发现，前两次主要攻击波次反复使用硬编码的 30 sat/vB 费用和类似的批处理模式，支持了共享操作者或攻击工具的可能性。后续波次转向个人转账和分散的目的地。在前三个已识别的波次中，与 Galaxy 相关的报告将受影响金额定为来自 4,585 个地址的 1,367.05 BTC，同时强调交易指纹的差异阻碍了对单一攻击者的明确归因。

一种解释是，攻击者意识到集中收集地址使早期交易更容易聚类和监控，因此采用新目的地和额外跳转以降低即时可见性。另一种解释是，漏洞的披露使得模仿者能够使用独立开发的工具搜索剩余的脆弱种子。这两种解释都与交易模式一致，但仅凭拓扑结构都无法证明。

第二跳转账不应自动被描述为洗钱。它们可能将初始提取与长期保管分离，为后续整合准备资金，测试地址是否已被标记，或将资产路由到外部服务。调查人员需要确定第二跳地址最终是否会汇聚或与可识别的实体交互。在这一阶段，合理的结论是，最新交易显示出系统性资金转移与日益分散的资金管理相结合。

攻击的演变也改变了用户的实际风险。Galaxy 识别出一次初始爆发，在大约 41 分钟内从 1,196 个地址转移了 1,082.65 BTC。随后的活动针对更多地址和较小余额，使用了不同的结构。这可能表明从快速提取可见的高价值钱包转向持续扫描剩余的弱种子群体。

持续的枚举活动可以重新访问相同的脆弱种子空间，并随着攻击工具的改进或交易成本的变化而针对较小余额。公开披露还可能在试图迁移的合法所有者和试图重建密钥的攻击者之间引发竞赛。因此，疑似第四波攻击的重要性不仅在于其观察到的价值，还因为它表明在最明显的初始盗窃结束后，未迁移的种子可能仍然容易被利用。

技术根本原因：可预测的随机性

Block 的比特币工程和安全团队将根本问题追溯到 Coldcard 固件与其随机数生成路径的集成。据 Block 称，旨在禁用 MicroPython 硬件随机数生成器（RNG）实现的配置导致外部库回退到确定性的 Yasmarang 软件生成器，而不是预期的 STM32 硬件 RNG。该库检查配置宏是否存在，但未检查其是否启用。

对于受影响的 Mk2 和 Mk3 固件，回退生成器可以使用设备元数据和计时状态进行初始化，而无需通过脆弱路径接收加密安全的熵。如果攻击者能够确定或充分约束设备 UID、计时器状态和以前的随机数调用，则有可能在离线状态下重现候选输出。在较新的设备上，添加了安全元件输入，但 Block 报告称，只有结果摘要的四个字节到达重新播种函数，在相关假设下，将安全区分状态限制为不超过 (2^{32}) 种可能性。

将弱随机输出通过加密哈希传递并不能解决问题。哈希可以使结果看起来均匀分布，但它不能创造出比原始输入空间中存在的更多可能的秘密。攻击者可以枚举候选种子，推导其比特币地址，并将这些地址与公共区块链进行比较。匹配提供验证信号，可能在无需物理访问钱包的情况下揭示相应的私钥。

这不是比特币签名系统或种子标准的失败。漏洞涉及创建私钥之前使用的随机性。一旦存在弱种子，离线、气隙隔离或物理安全的设备无法防止另一方通过计算重建相同的秘密。

Block 将其报告描述为在利用活动似乎活跃时发布的早期技术评估，并指出其尚未完成对每种可能攻击路径的经验测试。因此，应结合 Coinkite 的调查和最终技术结论来考虑其发现。即使有此限定，核心安全问题也很清楚：密钥生成后应用的保护措施无法恢复种子创建时缺失的熵。

为什么更新固件还不够？

Coinkite 的官方指南区分了防止未来生成脆弱种子和修复现有种子。修复后的固件改变了新秘密的生成方式，但无法更改在受影响版本下创建的助记词。将该助记词导入更新后的固件或其他硬件钱包会重新创建相同的私钥并保留潜在风险。完全补救需要通过修正后的流程生成真正的新种子并在链上转移资金。

Coinkite 确定在固件版本 4.0.1 至 4.1.9 上生成的 Mk2 和 Mk3 种子受到影响。它还建议迁移在标准固件 5.6.0 或 Edge 固件 6.6.0X 之前创建的 Mk4 和 Mk5 种子，以及在标准固件 1.5.0Q 或 Edge 固件 6.6.0QX 之前创建的 Coldcard Q 种子。该公司描述对 Mk4、Mk5 和 Q 的影响不如受影响的 Mk2 和 Mk3 设备严重，但仍然严峻。Mk2 和 Mk3 所有者可以在安装 4.2.0 或更高版本后生成替换种子。

真正独立的熵可能提供有限的例外情况。Coinkite 指出，至少 50 次公平、独立且私密的骰子投掷可能贡献 128 位熵，而 99 次或更多投掷贡献约 256 位熵。无法自信地确认投掷是如何生成和纳入的用户不应依赖此例外。强大的 BIP-39 密码短语可能会创建额外的屏障，但 Coinkite 仍建议迁移，因为密码短语不会修复原始种子。Coldcard PIN 码不是 BIP-39 密码短语，如果私钥被重建，它无法阻止区块链资金被转移。

Coldcard 用户现在应该做什么？

可能受影响的用户应确定当前种子最初生成时使用的设备型号和固件版本。如果种子是在较旧的 Coldcard 上创建或从其他设备导入的，仅凭当前固件版本是不够的。固件检查和下载应仅通过官方 Coinkite 渠道进行，不要遵循未经请求的支持账户、社交媒体消息或恢复服务提供的链接。

处于受影响范围内的用户应安装适用的修复固件并生成全新的种子。他们应安全记录新备份，直接在硬件屏幕上验证钱包指纹和接收地址，并在转移剩余余额之前发送小额测试交易。将旧助记词恢复到新设备或在固件更新后继续使用它并不能解决漏洞。

该事件也为二次欺诈创造了机会。用户切勿向任何声称代表 Coldcard、Coinkite、Galaxy、交易所、执法机构或恢复公司的人透露种子词、私钥、密码短语、骰子投掷序列或钱包备份。合法的支持人员不需要这些秘密来验证固件或解释迁移程序。

多重签名用户应评估有多少受影响的密钥参与支出阈值。如果可以重建足够多的脆弱密钥，多重签名保护也可能失效。在不削弱阈值或不必要地暴露钱包脚本的情况下替换密钥可能需要更精心计划的迁移，特别是对于高价值或由机构管理的钱包。

对硬件钱包安全的更广泛影响

该事件并不表明所有硬件钱包或自托管系统都不安全。它表明钱包安全取决于整个密钥生命周期：熵生成、固件配置、依赖项审查、种子备份、交易验证和最终迁移。“气隙隔离”、“离线”、“开源”或“安全元件保护”等标签描述的是个别防御措施，而非整个系统的安全性。

开源固件允许独立审查，但不能保证在利用发生之前会发现实现错误。更强的保证需要可重现的构建、熵测试、跨库边界的代码审查、确定性测试向量以及在安全随机性不可用时的故障关闭行为。否则，钱包可能会继续接收资金并签署有效交易，同时隐藏自种子创建以来就存在的弱点。

核心教训在于种子的来源。将旧助记词移动到更新的硬件可以改善其存储环境，但不会改变其数学安全性。硬件钱包保护私钥的存储和使用方式；它们无法追溯性地使可预测的种子变得不可预测。

结论

疑似第四波 Coldcard 攻击表明风险窗口仍然开放。压缩的时间、约 45 倍的资金转移速率增加、与固件相关的输入边界以及常规的交易结构支持 Galaxy 对系统性活动的评估。然而，攻击者的身份以及不同波次之间的关系仍未得到证实。

对于可能受影响的用户，首要任务是验证当前种子的创建时间和方式。修复后的固件可以保护新生成的秘密，但无法修复现有的弱种子。有效的补救措施是通过修正后的流程生成新种子并安全地迁移资产。

风险免责声明：本文仅供信息参考，不构成投资、法律或网络安全建议。用户应通过官方 Coinkite 文档验证固件版本和迁移程序，并就复杂的钱包配置寻求合格协助。