一位加拿大企业家在不到 7 分钟内，因 Coldcard 硬件钱包安全漏洞，被盗走超 1.6 百万美元的比特币（$BTC）。这一系列攻击总计受损高达 1,367.05 枚比特币。
此案揭示了自托管的尴尬现实：即使严格遵循安全规范，也未必就能高枕无忧。
7 分钟惨案：一位比特币持有者如何失去 18 枚 $BTC
冷存储意味着将私钥保存在永不联网的设备中。Jonathan Goodman 一直按照行业安全标准操作，将 Coldcard 硬件钱包存放在银行保险箱内。
他的 18.25 枚 $BTC 分散存储于多个加密钱包，且全部放置在安全保护装置中。他从未透露助记词，确保所有设备均与互联网物理隔离。
但这些防范措施，在 2026 年 7 月 29 日晚间 9:36 到 9:43 间，全部失效。短短 7 分钟内，他的所有钱包资产悉数被转移一空。
Goodman 得知更大范围安全隐患，是在度假时。
起初他以为与自己无关，结果打开 Wasabi 钱包软件查询余额，发现多笔赤字转账，资产已遭全部提走。
这一漏洞可追溯至 2021 年。针对部分设备，生成助记词的代码出现缺陷，攻击者据称以人工智能手段大规模暴力破解相关助记词组。
目前，他已向警方和安大略省证券委员会 报案。尽管追回希望渺茫，Goodman 表示最难接受的，是明明“一步不差地做对了所有安全措施”，却依然一夜归零。
类似攻击波远不止个案。根据 Galaxy Research 披露，疑似已出现三波攻击，专门针对 Coldcard 硬件生成的钱包地址。
截至发稿，这三波攻击共涉及 4,585 个源地址，累计被盗 1,367.05 枚 $BTC，以当时币价计，损失高达 8,860 万美元。
Galaxy Research 在攻击数据中发现了什么？
Galaxy Research 负责人 Alex Thorn 指出，相关攻击目前还在持续进行。他呼吁尚未将资金迁移出可能存在安全隐患钱包的用户，务必立即采取行动。
前两轮攻击显示了高度相似的转账模式，或许由同一操作者发起，但该推测尚未得到最终确认。而第三轮攻击的行为则明显不同，可能意味着攻击者更新了工具，也可能有新的攻击方利用了相同的私钥区间来发起攻击。
被盗的比特币目前仍停留在攻击者控制的地址内，尚无进一步转移迹象。被盗资产平均静置时间达 3.18 年，显示受害者大多为长期持币用户，而非机构资金。
Galaxy 也特别强调，目前所有结论仅基于链上数据分析，并未能最终证实受影响地址在生成过程中存在随机性不足的问题。
“……这对比特币的自托管理念是一次冲击。社区必须做得更好，不仅要在安全方面提升，还要加强教育普及，更需要正视复杂性、明确预期，并谨慎向亲友和公众提出建议……”，Alex Thorn 表示。
分析师 Shanaka Anslem Perera 则指出，Coldcard 官方文档本身存在讽刺意味。其手册将默认助记词生成方式称为“最可信赖”的方案，并向用户标记为低风险选项。
订阅我们的 YouTube 频道，观看行业领袖与记者解读独家见解。
事实上，同一设备还支持多种备选方式。用户可将硬件随机数与掷骰子的方式结合，或完全依赖人工掷骰，后者官方说明中称可彻底杜绝对硬件的信任。然而，大部分用户很可能还是采用了默认方案——而这也是 Galaxy Research 目前认定导致资产损失的关键路径。
这一概念上的矛盾，更深层体现在“可复现性”上。为校验固件而追求可复现性，却可能成为安全弱点：弱随机性与强随机性所生成的 24 个助记词字符在外观上完全相同，极易造成误判。
即便号称“不要相信，要验证”的硬件钱包，同样可能存在熵不足等隐蔽安全隐患，且难以被用户察觉。受影响用户应立即自查现有钱包架构，必要时及时转移资产。
