一名加拿大企业家在不到7分钟内，其Coldcard硬件钱包中的比特币（BTC）被盗超过160万美元，而这只是可能总计1,367.05 BTC被盗浪潮的一部分。这起事件揭示了自我托管领域一个令人不安的事实：即使做对了一切，可能仍然不够。
7分钟内损失18 BTC：安全存储为何失效？
冷存储意味着将私钥保存在永不触网的设备上。乔纳森·古德曼（Jonathan Goodman）严格遵循了这一原则，将Coldcard存放在银行保险箱中。他的18.25 BTC分别存放在多个保险柜中的钱包里，从未分享过助记词，所有设备均与网络隔离。
然而，这一切在2026年7月29日都无济于事。当晚9点36分至9点43分之间，他控制的所有钱包都被清空。古德曼最初在小屋中听说了一个广泛存在的问题，他以为与自己无关，但在Wasabi钱包软件中检查余额时，发现了一连串红色提款交易。
漏洞追溯到2021年：种子生成缺陷
该漏洞可追溯到2021年。生成助记词的代码存在缺陷，导致某些设备暴露在风险中，攻击者据称利用人工智能暴力破解受影响的助记词。古德曼已向警方和安大略省证券委员会提交报告，但追回资金的可能性渺茫。他写道，最痛苦的是“明明做对了一切”。
攻击规模：共1,367.05 BTC被抽走
此次攻击的影响远不止一位受害者。Galaxy Research识别出三波疑似针对Coldcard设备生成地址的攻击浪潮，涉及4,585个源地址，共抽走1,367.05 BTC，按当时价格计算约合8,860万美元。
Galaxy Research分析：攻击仍在进行
Galaxy Research负责人亚历克斯·索恩（Alex Thorn）表示，攻击似乎仍在持续，他敦促尚未从潜在受影响设置中转移资金的用户立即行动。前两波攻击的交易模式相似，可能由同一操作者实施，但尚未得到确认。第三波攻击差异显著，表明攻击者可能使用了更新的工具，或是另有他人利用相同的密钥空间。
被盗的比特币仍留在攻击者控制的地址中，没有进一步转移。被抽走的资产平均休眠了3.18年，表明大多数受害者是长期持有者而非机构。Galaxy强调了一个重要警告：其发现完全基于链上数据，尚未最终确认受影响地址的生成过程中确实存在随机性不足的问题。
亚历克斯·索恩表示：“这是对比特币自我托管的一次打击，我们作为社区需要做得更好：在安全性、教育、以及对复杂性的现实认知和对朋友、家人及公众建议的合理性上。”
Coldcard文档中的讽刺
分析师尚卡·安塞勒姆·佩雷拉（Shanaka Anslem Perera）指出了Coldcard官方文档中更深层的讽刺。手册将其默认种子生成方法描述为“最受信任”的方式，并标注为“低风险”。但设备本身也提供替代方案：用户可以将硬件输出与掷骰子结合，或完全依赖骰子，手册称后者可以“消除对硬件的所有信任”。
大多数用户很可能走了默认路径，而Galaxy Research正是将该方法与此轮损失联系起来。概念上的矛盾更深：可复现性在固件验证中受人推崇，但在秘密生成中却成为隐患，因为弱种子和强种子都会产生看似相同的24个单词的有效助记词，没有任何可见痕迹。以“不要信任，要验证”为理念营销的设备，仍可能隐藏熵缺陷。受影响用户应重新评估其安全设置，并在必要时转移资金。