在首次掃盪五天後，Coldcard 事件 已不再像單一事件，而開始顯得像一場緩慢的收割。區塊鏈分析師追蹤到第四輪資金外流持續至週一，目前觀察到的總損失已接近 1.14 億美元。然而，許多交易員預期的價格崩盤並未發生。比特幣在週二亞洲時段重拾 63,000 美元，並在夜間觸及略高於 64,100 美元的水平，當日上漲約 2%。
目前真正的重點，在於安全漏洞的嚴重性與買賣盤的平靜之間的差距。
Coldcard 錢包到底發生了什麼事？
這次失敗並非釣魚攻擊，也不是惡意軟體，更不是有人物理接觸了裝置。它發生在每個錢包創建的瞬間。
Coldcard 固件在生成恢復密鑰時會調用一個函數來提取隨機數。該函數在代碼庫中有兩個實現，具有相同的簽名：Coinkite 為 STM32 芯片編寫的硬體隨機數生成器，以及從 MicroPython 繼承的軟體備用方案。預處理器守衛僅檢查構建設置是否已定義，從未測試其值，因此構建過程在未發出任何警告的情況下使用了軟體備用方案。
結果產生的種子看起來完全正常。固件持續產生有效的 BIP-39 恢復短語，且這些值通過了常規測試，因為它們看起來足夠隨機，這正是該弱點長期未被發現的原因。Block 的分析顯示，若攻擊者能夠確定或縮小設備 UID、計時器狀態和先前通話記錄的範圍，即可在離線環境中重現候選輸出流，而無需實際接觸該設備。
Block 追蹤到該變更源自 2021 年 3 月 1 日的提交，並於當月隨固件 4.0.0 發布。這意味著部分受影響的錢包在超過五年時間內都可被悄悄猜出。
目前損失有多大？
這些數字每天都在變動，原因是不同公司測量的交易集不同。
第一筆公開數字來自 Coinkite 的自身諮詢和 Chainalysis：約 594 BTC，約 3,800 萬美元，於 7 月 31 日 02:00 UTC 前的 25 分鐘內，從約 500 個錢包中轉出。Galaxy Research 隨後繪製了另一筆更大規模的轉移，識別出 1,196 個地址持有約 1,082.65 $BTC，價值約 7,020 萬美元，於 41 分鐘內被清空。
週末出現了第三波攻擊。到週一為止，三波攻擊合計共竊取約 1,367 BTC，價值近 8,900 萬美元，來自約 4,585 個地址。每輪的平均每地址盜取量逐漸下降，表明攻擊者優先處理了大額餘額，再轉向價值數千美元的錢包。第四波攻擊貫穿週一，根據修正後的統計，從 709 個地址竊取了約 449 BTC，而 Galaxy 尚未確認是否為同一攻擊者所為。
加總後，觀察到的損失在 1.14 億至 1.16 億美元之間，而這是由於一個本應使此情況不可能發生的設備出現了漏洞。
哪些設備受到影響？固件更新能修復嗎？
這對任何持有 Coldcard 的人來說都是最重要的部分。
Coinkite 表示，此問題涵蓋 Mk3 固件版本 4.0.1 至 4.1.9，其更新的公告還包括在最新固件修復之前於 Mk4、Mk5 和 Q 設備上生成的種子。最初的公告曾指出 Mk4、Q 和 Mk5 設備無虞，因此自週五以來影響範圍已擴大。
更新並不能修復任何問題。一個弱的助記詞始終是弱的助記詞，新的固件無法回溯為多年前生成的密鑰增加熵值。正確的順序是：先更新設備，然後生成一個全新的助記詞，僅在確認新錢包無誤後，再轉移資金。
Block、Trezor 和 Ledger 均已確認其自身設備不受影響。
是否使用人工智慧來發現這個錯誤？
Coinkite 認為如此，並已公開表示。
公司認為，有人使用 AI 工具對其開源固件的先前版本進行分析，從而發現了該漏洞，並指出幾週前曾將其中一個最佳可用模型應用於自身代碼，但該模型未發現任何嚴重問題。其直截了當的結論是，攻擊者與防禦者如今擁有相同的工具，而在這種情況下，這些工具僅對一方有所幫助。
還有一個值得注意的細節：調查人員發現，該運營商使用了一家知名區塊鏈服務提供商的付費帳戶來執行掃描所需的查詢，而該提供商似乎僅處理了看似正常的請求。Block 已將此資訊交給當局。
綜合來看，此事件重新定義了冷儲存的威脅模型。冷儲存保證密鑰無法被猜測，使用者將此理解為密鑰無法被存取。但這兩者並非相同的承諾，而發現第一種缺陷的成本持續下降。
儘管有這些情況，比特幣為何仍能穩健表現？
因為離開這些錢包的資金並未離開市場，而且倉位從未陷入恐慌。
期權交易台未見壓力。30 天隱含波幅指數已連續數個交易日維持在 37% 附近，而 Deribit 上交易最活躍的合約為執行價為 $68,000 和 $70,000 的看漲期權，這屬於看多押注。現貨資金流也呈現類似情況：以太坊資金出現小幅流入，而比特幣資金則出現流出，這在通常由 BTC 主導的市場中屬異常分化。
本週對價格造成更大壓力的， arguably 並非駭客事件。Strategy 於週一披露，其在 7 月 27 日至 8 月 2 日期間以平均價格 63,957 美元售出 1,638 比特幣，總計約 1 億零五百萬美元，這是其 2026 年的第三次出售，成本基準為 75,419 美元。所得資金用於優先股息和 STRC 回購，而非再投入比特幣。目前持倉為 842,138 比特幣，該公司已超過五週未購入任何比特幣。
一家財政公司以低於自身成本的價格出售，比錢包遭駭更具體地反映了需求。
持倉者應從中獲得什麼？
三個實用要點。
首先，應在創建時驗證，而非事後。此類所有重大失敗，包括2023年的Milk Sad PRNG漏洞，都發生在錢包創建的那一刻，而這正是用戶無論多麼自律都無法獨立檢查的唯一時刻。使用可驗證的過程生成助記詞，或將風險分散至不同製造商的設備上，能直接解決這一問題。
其次，單一供應商集中本身就是一種風險。僅第一波就有約 500 名持有者因共享相同的供應鏈而遭遇同樣的失敗。
第三，保持數字的相對性。TRM Labs 計算出 2026 年上半年共發生 207 起獨立事件，為有史以來半年內最多，但總損失約為 9.72 億美元，不到 2025 年上半年被盜的 23 億美元的一半。攻擊次數更多，但單次盜竊金額較小。Coldcard 事件之所以嚴重，是因為它發生的部位，而非其規模。
下一步關注什麼
即時水平為 $63,000，過去三天內兩度失守後又重新奪回。若第三次失守，將表明 $62,500 以下的支撐力度較弱。除了價格之外，有兩件事將決定後續發展：消費者保護機構或金融監管機構是否會作出回應，這將揭示政府打算如何分類 硬體錢包；以及 Galaxy 是否確認第四波攻擊來自同一操作者，或是一名根據公開研究仿製的模仿者。