Galaxy Research近日发布最新分析报告称，与Coldcard硬件钱包漏洞相关的被盗比特币数量已在三波已确认的攻击中达到1,596枚。若第四波疑似攻击获得受害者确认，总损失可能上升至约2,055枚比特币，按当前价格计算价值接近1.3亿美元。
Galaxy Research在周一发布于X平台的报告中指出，已识别出7,300个地址被盗，累计涉及1,596枚比特币，此外还有14起与Coldcard种子生成漏洞相关的小型安全事件。该数据尚未包含第四波疑似攻击，因为受影响钱包所有者的确认信息尚不充分。若该波活动被证实，总被盗数量将达到2,055枚比特币，价值约1.3亿美元。
此前Galaxy的链上分析曾估算约1,815.75枚比特币在四波观测到的攻击中流动，但当时Galaxy强调该数字仅基于链上分析，而非受害者确认报告。最新更新缩小了已确认损失范围，同时将更大规模的估算与尚未验证的第四波攻击挂钩。
Galaxy表示，团队已识别出疑似第四波协同盗窃活动，但仍在等待受害者确认，以将这些地址纳入正式统计。根据其分析，链上活动显示第四波攻击“很大程度上由单个攻击者实施”，分析师对此评估具有中高置信度，但受影响钱包的确认仍存在不确定性。
Galaxy研究主管Alex Thorn于8月3日首次标记第四波潜在攻击，因其识别出的交易模式与此前攻击高度相似。其后续估算显示，约448.7枚比特币从709个潜在受害者地址流出。Galaxy强调，仅靠链上数据无法确认每个受害者，也无法确定是否为单一操作者实施全部盗窃。
调查人员已与美国联邦执法机构、加密货币交易所以及网络安全调查组织合作，共享已确认的攻击者和受害者地址。Galaxy报告称，约90%的被盗比特币尚未发生转移。三波已确认攻击中被盗的币自被盗后均未移动，这为调查提供了更多监控时间。
Galaxy还警告，在受影响设备仍在使用的情况下，新攻击者可能尝试利用同一漏洞。因此，识别更多攻击者控制的地址对于交易所和执法部门应对资金流动至关重要。早期链上分析显示，在疑似第四波攻击期间，每比特币区块的地址扫描数量加速至约13.8次，而事件前约为0.3次。
此次安全漏洞源于影响Coldcard Mk3、Mk4、Mk5和Coldcard Q设备的固件问题。Coinkite上周披露，漏洞于2021年3月引入，当时固件集成新加密库，但在生成钱包种子时错误调用了MicroPython提供的确定性伪随机生成器，而非硬件真随机数生成器。
Coinkite估计，受影响的Mk2和Mk3设备可能仅提供约40位有效熵，而Mk4、Mk5和Coldcard Q设备可能生成约72位熵，而非预期的128位。Block的比特币工程与安全团队独立审查固件后得出相同结论。
Coinkite已为所有受影响产品发布紧急固件更新，包括Mk2/Mk3的4.2.0版本、Mk4/Mk5的5.6.0版本、Coldcard Q的1.5.0Q版本，以及Edge版本6.6.0X和6.6.0QX。该公司还销毁了所有含漏洞固件的库存。
Coinkite指出，安装更新固件仅保护更新后创建的钱包。使用漏洞固件生成的现有种子短语仍然暴露，应予以更换。公司建议用户更新设备后生成全新种子，验证接收地址，发送小额测试交易，确认成功后再转移全部余额。对于使用至少50次公平私人骰子生成的钱包，仅此随机数问题不会导致暴露。虽然BIP-39强口令可增加安全层，但Coinkite仍建议迁移资金，因为原始漏洞种子依然脆弱。