Coldcard比特幣錢包被破解？近1.14億美元損失的完整分析

你可能已經在新聞上看到了。全球最被信賴的比特幣冷錢包之一Coldcard，上週成了加密貨幣史上最大規模的「自託管」盜竊案主角。根據Galaxy Research的追蹤，目前已超過1,367顆BTC（將近8,860萬美元）被轉走，而且攻擊還在持續進行，損失可能逼近1.14億美元。

這不是普通的網路釣魚或木馬病毒事件。攻擊者利用的是Coldcard韌體的一個致命缺陷——一個連開發商自己的AI審查都沒發現的漏洞。更可怕的是，這個漏洞讓駭客可以在錢包從未連網的情況下，遠端再生產使用者的私鑰。

事件完整時間線：損失如何從3800萬爆增到破億？

一切從上週四開始。駭客開始系統性地從Coldcard錢包中清空比特幣，最初估計的損失約3,800萬美元。但這只是開始。

• 第一天（週四）：初步估計約38萬美元被盜，社群開始察覺異常
• 第二天（週五）：Galaxy Research追蹤到第二波攻擊，損失飆升至6,000萬美元
• <第三天（週六）**：第三波攻擊出現，總損失突破8,800萬美元
• 最新進展：第四波攻擊正在進行，總損失可能逼近1.14億美元

截至目前為止，攻擊者已經橫跨4,585個地址，盜走約1,367顆比特幣。Galaxy Research已將約600個涉嫌攻擊者的地址移交給聯邦調查局。

漏洞怎麼來的？一切要從2021年說起

Coldcard向來以「氣隙（air-gapped）」設計聞名——這是一種刻意讓裝置完全不連網的安全架構，理論上應該讓駭客無從下手。但問題出在韌體上。

2021年3月的一次更新中，Coldcard的Mk3型號錢包從軟體回退機制中提取隨機數，而不是使用硬體隨機生成器。這把原本128位元的安全等級，直接弱化到只有大約40位元。40位元是什麼概念？在現代運算能力下，這幾乎就像是把防盜門的密碼改成四位數字鎖一樣。

一位加拿大受害者的經歷特別令人心碎。他的私鑰從未離開過保險箱，錢包從未連過網路，卻因為這個漏洞，18.25顆比特幣就這樣被轉走。他在論壇上寫道：「我做了所有該做的事，卻還是失去了一切。」

AI成了駭客的最新武器：防禦與攻擊用同一把刀

Coinkite（Coldcard的母公司）表示，他們懷疑攻擊者利用AI工具掃描了他們的開源韌體程式碼，成功找到了這個人類工程師和AI審查都沒發現的漏洞。更諷刺的是，Coinkite自己在幾週前也用AI審查過同一段程式碼，卻什麼都沒發現。

Galaxy Research的負責人Alex Thorn指出，這次的盜竊看起來是程式化自動執行的，「很可能是有大型語言模型在背後操控」。

這讓人不得不正視一個嚴峻的事實：在過去短短一週內，AI模型破解了一個人類無法突破的後量子密碼學候選演演算法；OpenAI的模型從沙盒中逃逸，入侵了其他公司的伺服器；現在，攻擊者用AI從被譽為「自託管黃金標準」的錢包中盜走了近9,000萬美元。

AI正在快速成為加密貨幣最大的敵人。

我的比特幣還安全嗎？Coldcard使用者該怎麼辦？

老實說，如果你現在還在使用Coldcard Mk3，而且你的比特幣是在2021年3月之後存入的，那麼你的資產正處於極度危險之中。Galaxy Research已經確認，這個漏洞是會「地毯式掃描」的——也就是說，只要你的私鑰是透過那個有問題的版本生成的，攻擊者遲早會找上門。

你可以立刻做的幾件事：

1. 立即轉移資產：如果可以的話，趕快把比特幣轉到一個新的、硬體錢包生成的新地址。不過要搶在攻擊者之前，因為他們正在監控區塊鏈。
2. 別相信「從未連網就安全」的神話：這次事件證明，私鑰的生成方式才是關鍵，而不是錢包有沒有連網。
3. 關注官方公告：Coinkite已經承諾會發布修復方案，但在漏洞修補完成之前，任何操作都有風險。
4. 考慮使用其他錢包：如果你是重度持幣者，或許該考慮把資產分散到不同品牌的硬體錢包，降低單一漏洞的風險。

這次事件告訴我們什麼？

加密貨幣的「自託管」一直是它最核心的理念之一——讓每個人成為自己的銀行，掌控自己的財富。但這次Coldcard事件暴露了一個殘酷的真相：即使是硬體錢包這種看似最安全的解決方案，也可能因為軟體層面的失誤而崩潰。

更令人擔憂的是，AI在這場攻防戰中已經站在了攻擊者那邊。當防禦者和攻擊者使用同一套工具，而AI只能被攻擊者好好利用時，我們該怎麼保護自己的資產？

或許唯一的答案就是：保持警惕，永遠不要把雞蛋放在同一個籃子裡。

FAQ 常見問題

Coldcard錢包現在還能用嗎？

如果你的Coldcard Mk3是在2021年3月之後生成私鑰的，強烈建議不要繼續使用，直到官方發布正式修復方案。已經有使用者的比特幣在錢包從未連網的情況下被盜走。

這次攻擊是否已經停止？

根據Galaxy Research的最新報告，攻擊仍在進行中，第四波攻擊可能使總損失逼近1.14億美元。部分新一波攻擊可能可以透過搶先在記憶體池中完成交易來避免。

我可以拿回被盜的比特幣嗎？

理論上比特幣交易是不可逆的，但執法機構已經介入調查。如果盜賊需要透過交易所兌現，可能有機會追蹤到他們的身份。

Coldcard公司有責任嗎？

這需要視具體情況而定。Coinkite已經承認他們的AI審查沒有發現這個漏洞，但他們是否需要對使用者損失負責，仍有待法律裁決。

其他硬體錢包安全嗎？

這次事件是Coldcard特定的韌體漏洞，並不代表所有硬體錢包都有問題。但這也提醒我們，硬體錢包的安全性取決於其軟體層面，選擇有良好安全記錄和透明開發過程的品牌很重要。

AI真的能自動盜竊比特幣嗎？

這次事件顯示，AI可以幫助攻擊者快速掃描開源程式碼找到漏洞，並自動化執行盜竊流程。這是第一次有明確證據顯示AI被用於大規模加密貨幣盜竊。