Coldcard 比特幣漏洞持續延燒！88億臺幣人間蒸發，兇手居然在區塊鏈上「守株待兔」

你以為把私鑰藏在離線裝置裡就安全了嗎？現實可能比你想像的還要殘酷。加拿大教練 Jonathan Goodman 的故事最近在加密圈瘋傳——他把 Coldcard 放在銀行保險箱裡，裝置從未連過網路，結果 18.25 顆比特幣（約 1.6 億臺幣）在 7 分鐘內被清空。他說的一句話讓所有人背脊發涼：「我明明什麼都做對了。」

88億臺幣人間蒸發：Coldcard 漏洞完整時間線

這不是單一事件，而是有組織、有計畫的大屠殺。根據 Galaxy Research 的最新調查，截至目前為止，攻擊者已經從 4,585 個地址盜走約 1,367 顆比特幣，價值逼近 88 億臺幣。而且這波攻擊還在持續進行中。

研究團隊追蹤到三波大規模盜竊行動，最新一波（第三波）就一口氣搬走了 207.73 顆比特幣。Galaxy Research 負責人 Alex Thorn 在 X平臺上緊急呼籲：「攻擊仍在進行中，如果你還有 Coldcard 生成的單簽名地址，趕快把資金轉走，立刻馬上。」

漏洞根源：2021年的那個錯誤

一切要從 2021 年 3 月說起。Coinkite 公司在當時發布的 Coldcard 韌體版本中引入了一個致命錯誤——隨機數生成器的強度遠遠不足，導致產生的私鑰可以被暴力破解。換句話說，攻擊者不需要遠端入侵你的裝置，只要拿到你的地址，就能透過演演算法「猜測」出私鑰。

Thorn 進一步指出，這波盜竊看起來是經過精密程式的自動化攻擊，很可能結合了大型語言模型來加速破解過程。他的預測更是讓人安心不下：「所有在 2021 年更新後建立的單簽名 Coldcard 地址，遲早都會被清空——這只是時間問題。」

受害者錯愕：三年沒動的比特幣突然消失

最令人心驚的資料是：被盜的比特幣平均「沉睡」了 3.18 年。也就是說，這些受害者都是長期持幣者，他們當初就是把 Coldcard 當作最安全的「冷錢包」來使用，結果還是被盯上。

被盜的資金目前仍停留在攻擊者的地址中，尚未進一步轉移。Galaxy Research 已經向聯邦調查局、區塊鏈資安公司及跨產業網路安全機構提交了約 600 個涉嫌地址，請求協助追蹤。

你該怎麼自保？專家提出的關鍵建議

• 立即檢查錢包地址：如果你有使用 Coldcard 生成過單簽名地址，別再猶豫，立刻將比特幣轉移到新生成的錢包（建議使用其他品牌的硬體錢包或重新產生新的 Coldcard 地址）。
• 避免「病急亂投醫」：許多受害者急著把比特幣轉到交易所（如 Coinbase、Binance），但這反而違背了「Not Your Keys, Not Your Coins」的核心原則。轉移到新錢包時，請確認新裝置和新產生的地址是安全的。
• 別以為離線就安全：這次事件證明，即使裝置從未連網，私鑰本身若有漏洞，攻擊者仍能從區塊鏈下手。選擇硬體錢包時，務必確認其隨機數生成機制符合業界標準。
• 持續關注官方公告：Coinkite 已針對此漏洞發布修復更新，但舊地址的風險依然存在。定期檢視官方論壇與資安社群的訊息。

這場風暴告訴我們什麼？

Coldcard 事件敲響了硬體錢包產業的警鐘。即使是被資深玩家信任的裝置，一旦在韌體層面出現失誤，後果可能就是災難性的。對普通投資人來說，這也再次印證了一件事：加密貨幣的自我監管沒有捷徑——你需要的不只是一把「好鎖」，還需要確認鑰匙的生成方式本身沒有破綻。

FAQ 常見問題

Coldcard 錢包還能繼續使用嗎？

如果你的 Coldcard 是在 2021 年 3 月之後產生的單簽名地址，專家建議不要繼續使用該地址存放比特幣。你可以更新韌體、產生新地址，並將資金轉移到新生成的地址。雙簽名設定的 Coldcard 使用者相對安全，但仍建議密切關注後續發展。

我的比特幣放在交易所會比較安全嗎？

各有優缺點。交易所遭駭的風險較低（通常有保險和冷熱錢包分離機制），但你需要信任第三方的安全管理。放在自己錢包的優點是「完全掌控」，但責任全在自己身上。這次 Coldcard 事件後，不少受害者選擇轉回交易所，這是個人風險偏好的選擇問題。

攻擊者是如何在裝置離線的情況下盜走比特幣的？

關鍵在於 2021 年的韌體錯誤導致私鑰的隨機性不足。攻擊者不需要存取你的實體裝置，而是透過區塊鏈分析與暴力破解，直接從已公開的地址推匯出私鑰。這也是為什麼「離線存放」並不能完全保證安全——金鑰本身的生成方式才是核心。

如果已經被盜，還有辦法追回嗎？

區塊鏈的特性是公開但不可逆轉。一旦比特幣轉入攻擊者地址，追回的可能性極低。不過，你可以向當地警方、區塊鏈資安公司（如 Chainalysis）以及相關監理機構（如美國 SEC、加拿大 OSC）報案並提供交易紀錄，或許能協助未來的資產扣押與執法行動。