Coldcard窃案：黑客盗走45%赃款，Galaxy揭露隐藏金库真相

沉寂一个多月的Coldcard硬件钱包窃案，攻击者近日开始转移赃款。区块链分析公司Galaxy Digital追踪发现，这名攻击者已将所谓第三波（Wave 3）遭窃资金的约45%、共97.09枚比特币（依周一价格约780万美元）转出以进行洗白。同时，调查揭露出一个先前未被记录的、疑似属于受害者的隐藏金库，使已知损失规模进一步上升。相关追踪最早由The Block引述Galaxy报告披露。

攻击者依金额由大到小搬，先过THORChain 再混币

Galaxy 的链上分析显示，攻击者的提领有明显顺序：依地址持有金额由大到小依序搬移，目前排名第1 到第11 的地址已清空。这批资金9 月2 日先透过跨链协议THORChain 换成以太币，周日再以CoinJoin 混币交易进一步打散金流。

不过整体来看，被盗资金仍有约82% 停在攻击者控制的地址未动。排名第12 到第21 的地址还留有30.81 枚比特币，第61 到第293 名地址合计33.77 枚，尚未被触碰。换言之，攻击者目前只动了较大额的部位，剩余的多数赃款仍原地不动。

Galaxy 发现隐藏金库，总损失上修至1,806 枚比特币

追踪过程中，Galaxy 透过「共同花费」（co-spend）关联，找到一个先前未被纳入统计的金库，内含58 个地址，研判同样属于Coldcard 受害者。加入这批后，这起事件的已知损失总额从先前估计上修到约1,806 枚比特币（依当前价格约1.439 亿美元），受害者达190 人、受影响地址超过8,600 个。

Galaxy 也提到不排除还有「第四波」（Wave 4）的可能，但此说法目前尚未获得证实。

祸源是2021 年软件乱数缺陷

这起窃案的根源，是Coldcard 早期装置在2021 年一段软件的乱数（随机性）缺陷。由于产生钱包种子时的熵不足，攻击者得以暴力破解私钥种子，进而抽干采用单一签章的地址。链新闻先前报导，这批盗领行动最早可追溯至7 月30 日，损失估计一度突破1.5 亿美元，并被拆分成数波陆续进行。

对持有旧款Coldcard 的自托管用户而言，能否确认自身种子是否落在受影响的产生范围，仍是后续资产安全的关键。这起事件也持续考验市场对硬件钱包与自我保管的信任。