冷錢包大地震！Coldcard漏洞理財高達$8800萬比特幣被搬走，兇手竟是你自己？

你以為把比特幣藏在冷錢包裡就很安全？把私鑰放在從未連網的裝置中，就能安心睡覺？加拿大教練Jonathan Goodman用他失去18.25顆比特幣（當時價值約160萬加幣）的教訓告訴你：不一定。

七分鐘。區塊鏈上只是轉眼的功夫，他多年來小心保管的比特幣就這樣被搬空了——而他的Coldcard裝置從未接觸過網路。這不是電影情節，這是正在發生的真實災難。

這不是單一事件：損失已飆破$8800萬美元

根據Galaxy Research的最新追蹤，這場針對Coldcard使用者的攻擊已經來到第三波。被盜的比特幣總量已經達到1,367顆，價值約$8,860萬美元，受影響的地址超過4,585個。而且，這個數字還在持續增加中。

「攻擊仍在進行中——如果你還沒動作，請立即將資金從Coldcard生成的地址移出。」Galaxy Research負責人Alex Thorn在X平臺上緊急警告。

更令人心驚的是，研究團隊已經標記了約600個涉嫌攻擊者的地址，並將相關資料提供給聯邦調查單位、 合規公司以及跨產業的網路安全調查機構。這意味著什麼？官方已經確認這不是小規模犯罪，而是一場有組織的系統性盜竊。

漏洞源頭：2021年的一次更新錯誤

一切要從2021年3月說起。Coldcard的製造商Coinkite在一次韌體更新中犯了一個致命的錯誤——產生的助記詞（seed phrase）隨機性嚴重不足，導致私鑰可以被猜測出來。

你可以把比特幣的私鑰想成是一把極其複雜的密碼。傳統上，這把密碼有2的256次方種可能組合，幾乎不可能被暴力破解。但因為這個bug，攻擊者能夠大幅縮小猜測範圍，就像從大海撈針變成在游泳池裡找硬幣——而且，他們真的找到了。

Alex Thorn指出，這些盜竊看起來是經過精心設計的程式化攻擊，很可能借助了大型語言模型來自動化整個流程。受影響的比特幣在被盜前平均休眠了3.18年——這些都是長期持有者的資產，就這樣靜靜地被盯上、被清空。

為什麼這次特別可怕？「離線」不再等於安全

傳統上，我們相信「離線」就等於「安全」。Coldcard的設計理念正是如此——它是一臺專門的硬體錢包，運算和簽署交易都在隔離環境中完成，不需要也不應該連線網路。

但這次的漏洞出現在「生成環節」。當你第一次設定Coldcard、讓它產生生助記詞的那一刻，隨機性就已經被破壞了。私鑰在裝置出生的那一刻，就已經不再安全。

這意味著什麼？即使你的Coldcard從未連網，即使它一直躺在保險箱裡，從未接觸過任何網路——只要你是2021年3月之後購買或重置的Coldcard，你的私鑰可能早已經被「預先」猜測出來，只是攻擊者還沒輪到你罷了。

哪些人最危險？

• 使用單籤名（single-signature）地址的Coldcard使用者
• 在2021年3月之後首次設定Coldcard的人
• 把自己的比特幣留在冷錢包裡超過一年都沒動過的人
• 從未升級過韌體、或不知道要檢查的人

現在該怎麼做？專家的自保三步驟

面對這種等級的漏洞，等待就是損失。以下是你現在應該做的事情：

第一步：立即確認你的地址是否在危險名單

Galaxy Research已經建立了受害者與攻擊者的資料庫。你可以透過區塊鏈瀏覽器（如Blockchair或Oxt）檢查你的地址是否與任何已知的被盜地址有過交易記錄。如果有，不要猶豫，立刻行動。

第二步：將比特幣轉移到新生成的地址

這裡有個兩難：安全專家呼籲大家移動資金，但移動的過程中也可能遭受中間人攻擊或是操作失誤。比較安全的做法是：

1. 使用一個乾淨的、重新安裝的軟體錢包
2. 或使用另一個品牌的硬體錢包（如Trezor、Ledger）
3. 千萬不要用同一臺有問題的Coldcard來生成新地址

第三步：考慮暫時將比特幣放回交易所

這是一個顛覆「not your keys, not your coins」主流觀點的建議，但專家確實觀察到，大量受影響的使用者正選擇將比特幣轉回Coinbase或Binance等中心化交易所。雖然這違背了自主保管的精神，但在漏洞修補之前，這可能是最務實的選擇。

這會影響整個比特幣生態嗎？

短期內，這當然打擊了硬體錢包產業的信任度。Coldcard一直是許多重度使用者的心頭好，以安全性著稱。這次的漏洞不只摧毀了產品名聲，也讓「冷錢包比熱錢包安全」這個前提受到質疑。

不過，從長遠來看，這類事件其實是產業成熟的必經陣痛。每次安全漏洞的發生，都會迫使製造商改進、逼迫使用者提升警覺、也讓整個生態系統變得更強健。

但對你個人而言，現在不是等待傷口癒合的時候。你的比特幣，就是你的責任。

FAQ 常見問題

Coldcard現在還能用嗎？

如果你使用的是多籤名（multisig）設定，風險相對較低。但單籤名使用者應該立即轉移資產，直到官方發布完整的漏洞修補方案。

我有兩臺Coldcard，都需要轉移嗎？

是的。只要是在2021年3月之後生成地址的裝置，都存在風險。建議將所有資金集中轉移到一個新生成的、安全的地址。

如果我已經把比特幣轉到交易所了，還需要擔心嗎？

如果你已經將比特幣從Coldcard地址轉出，理論上就已經脫離險境。接下來的重點是確保交易所帳戶本身的安全——啟用雙重認證、使用硬體金鑰登入。

這次的攻擊者是怎麼做到的？

研究顯示，攻擊者利用了Coldcard 2021年3月韌體更新中的隨機數生成缺陷，縮小了私鑰的猜測範圍。他們很可能使用自動化工具，大規模掃描並盜竊所有潛在受害者的地址。

官方有說會賠償嗎？

目前Coinkite官方尚未宣佈任何賠償計畫。使用者的損失主要還是要自己承擔，這也是為什麼自主保管資產需要極度謹慎的原因。

你的比特幣還在Coldcard裡嗎？不要成為下一個受害者。現在就行動，把資產移到安全的地方。這不是杞人憂天，這是正在發生的錢包大屠殺。