比特币硬件钱包Coldcard近日曝出严重固件漏洞，攻击者已通过该漏洞系统性盗取大量比特币。截至发稿时，研究人员追踪到的被盗资金已接近1.14亿美元，且攻击仍在继续，威胁尚未解除。
固件缺陷致私钥可被猜测
据Galaxy Research监测，攻击者利用Coldcard Mk3设备在2021年3月固件更新中引入的随机数生成缺陷，绕过了硬件真随机数生成器，导致私钥有效强度从128比特骤降至约40比特。这意味着攻击者无需接触设备即可暴力破解私钥，从而盗取长期未移动的比特币资产。
一位加拿大受害者存放在银行保险库中的18.25枚比特币被洗劫一空。他表示，最痛苦的是自己“做了所有正确的事”，却依然未能幸免。
攻击已持续多轮，损失持续扩大
攻击最早于上周四被发现，当时估计损失约3800万美元。随着调查深入，Galaxy Research目前已追踪到约1367枚比特币被盗，价值约8860万美元，涉及4585个地址，并确认存在三个攻击波次。研究人员警告称，这一漏洞仍在被利用，所有存在漏洞的设备最终都可能被清空。另有迹象表明，第四波攻击可能将总损失推高至1.14亿美元，但部分最新攻击可通过抢先交易（front-running）在mempool中拦截。
AI被视为攻击“帮凶”
Coldcard制造商Coinkite表示，严重怀疑攻击者使用人工智能（AI）对开源固件代码进行漏洞挖掘。Coinkite承认，其自身在数周前进行的AI审查“没有发现这一bug或其他严重问题”。Galaxy Research负责人Alex Thorn指出，攻击行为呈程序化特征，“很可能由大语言模型编排”。
短短一周内，AI模型不仅破解了人类无法攻破的后量子密码候选方案，还帮助攻击者从号称“自我托管黄金标准”的硬件钱包中盗走近亿美元资金。AI正迅速成为加密货币行业的最大威胁，而自我托管这一核心基石正面临严峻考验。
市场与宏观动态
加密货币主要币种小幅下跌，BTC报62,600美元，跌1%；ETH报1,840美元，跌1%；SOL报72.30美元，跌1%。油价下跌6%至79.50美元，黄金持平于4,100美元。美股期货因伊朗和平预期走高，道指涨1%，纳指涨0.35%。
BitGo CEO Mike Belshe公开向Anthropic发出挑战，要求其停止“制造黑客怪物”的演示，并提供了持有100 BTC的BitGo地址，邀请AI模型尝试攻击。Tether公布Q2净运营利润15亿美元，环比增长约50%，USDT流通量达1846亿美元，储备盈余超40亿美元，黄金持仓增至146吨。Strategy公司出售了1.05亿美元比特币用于优先股股息和回购。
比特币ETF上周五净流出2.65亿美元，周度净流出6000万美元；以太坊ETF则净流入900万美元，周度净流入1100万美元。
Meme币与链上热点
Meme币板块整体小幅回落，DOGE跌1%，SHIB跌3%，PEPE跌1%。Solana链上CATE涨130%，Manifet涨69%，Kimchi涨700%。NFT市场混合表现，Punks持平于32.3 ETH，BAYC跌3%至8.16 ETH，Stonkbrokers涨至6.9 ETH。
7月DEX交易量达到CEX交易量的24%，创历史新高。Polymarket和Kalshi月度交易量达到500亿美元，同样刷新纪录。
此次Coldcard事件再次暴露硬件钱包的潜在风险，提醒用户在依赖可信设备的同时，也需关注固件更新与供应链安全。