Coinkite 在接到3800万美元比特币损失报告后向Coldcard Mk3用户发出警告

硬件钱包事件极少以孤立事件的形式发生。当长期休眠的地址开始以高度协调的方式进行转账时，仅凭这一时间点就值得深入调查。 2026年7月30日的情况正是如此：据称有594 BTC（价值约3800万美元）在约25分钟内从大约500个单签名地址中转移出去。

其中许多钱包已多年处于休眠状态，余额通常在0.15至0.26 BTC之间。截至本文撰写之时，尽管网上讨论甚嚣尘上，但该公司尚未确认这笔近600 BTC的转账是否与Coldcard安全公告直接相关。

Coinkite的回应

Coinkite首席执行官罗道夫·诺瓦克（业内昵称NVK）表示，公司正以高度紧迫感处理相关报道。“我们全员投入，正在对所有情况进行深入调查，技术分析文章即将发布，”诺瓦克在X平台表示。他补充道，相关报道发布后，公司的沟通渠道被询问“轰炸”了。 在另一则更新中，诺瓦克强调：“我们已针对COLDCARD的相关报道进行了大量调查，博客文章即将发布。”

该公司发布的安全公告博文指出了受影响设备的具体型号范围。任何曾在运行2021年3月发布的固件版本4.0.1至5.0.3（这是Mk3的最后一个支持版本）的Mk3设备上生成过助记词的用户，都可能受到影响。 Coinkite 解释称，其初步分析显示 Mk4、Q 和 Mk5 机型未受影响。 Coinkite 表示，该安全公告反映了初步调查结果，随着调查的深入，后续将发布正式的技术审查报告。 社区研究人员一直在审查与这些报告相关的链上活动。讨论的焦点在于某些较旧的Mk2和Mk3固件版本在种子生成过程中可能存在随机性不足的问题，而非供应链遭到破坏。截至发稿时，Coinkite尚未确认根本原因。

使用密码短语的用户风险较低

根据该安全通告，经 Coinkite 的初步分析，使用 BIP-39 密码短语（即用户添加的、与设备 PIN 码不同的短语）进行保护的钱包，其风险似乎微乎其微。该公司建议使用密码短语的用户继续保护该短语，并避免在不可信的设备或网站上输入该短语。

对于未使用密码短语的 Mk3 用户，Coinkite 建议迁移至在未受影响的设备上生成的全新种子。 该公司表示，此过程不应仓促进行。建议先发送一笔小额测试交易，在设备屏幕上验证新钱包及收款地址，并在确认迁移成功前保留旧备份。

临时解决方案

对于仅拥有 Mk3 设备的用户，Coinkite 提出了两项临时措施：

• 设置一个强且唯一的 BIP-39 密码短语，并将资金转移至新保护的钱包中。
• 使用 Mk3 的“掷骰子”导入路径生成替代种子，该方法不依赖设备的随机数生成器，不过 Coinkite 指出这属于高级操作，需要仔细核验。

Coinkite 在其公告中发布了完整的技术步骤，该公告可在公司博客上查阅。该公司解释称，调查仍在进行中，后续将公布更多细节。 自发布以来，Coldcard 一直以安全为重、采用物理隔离的硬件钱包而著称，这些报告在比特币社区引发了广泛关注，用户们正纷纷评估自己的设备。