MARA向公众开放“Slipstream”，而“Coldcard”受害者正争分夺秒地逃离

MARA取消访问代码要求

MARA Holdings（纳斯达克上市的比特币矿商及人工智能（AI）基础设施提供商，前身为Marathon Digital）开发了Slipstream服务，使用户能够将比特币交易直接发送至其矿池，而非广播至公共网络。

大多数比特币交易都会经过一个名为“内存池”（mempool）的共享等待区，在交易被确认纳入区块之前，网络上的每个节点都能看到该交易。Slipstream则绕过了这个等待区。用户将已签名的交易直接提交给MARA，该交易将保持隐藏状态，直到MARA挖出包含该交易的区块为止。

2026年8月3日，MARA基金会通过X平台发布了以下更新：

“MARA Slipstream 现已作为无需许可的公共产品推出，且无需客户端代码支持。 请谨慎设定手续费，以防在竞争性费率飙升时，交易被卡在Slipstream内存池中。在可预见的未来，我们不会为此服务收取额外费用，但用户需自行承担相应的比特币交易手续费。”

最后一点至关重要。MARA 并未额外加收任何费用。用户仍需支付正常的比特币网络手续费，只是将交易通过私有通道而非公开通道发送而已。

硬件钱包漏洞促成此次时机

这一时间点并非巧合。7月底，研究人员披露了Coldcard硬件钱包中一个严重漏洞，其根源可追溯至2021年3月的一次固件编码错误。 受影响的Coldcard机型在生成钱包的24词助记词时，并未从设备专用的硬件随机数生成器中获取随机数，而是退而求其次地采用了安全性较低的软件生成流程。这一错误导致有效随机性从预期的128位降至旧机型的大约40位，新机型则降至72位。 可能的组合数量减少意味着，拥有足够计算能力的攻击者可以猜出种子并解锁钱包。

黑客争相清空存在漏洞的钱包

攻击者行动迅速。早期统计显示，约有 594 BTC（当时价值近 3800 万美元）从大约 500 个地址中被盗。随着更多受影响的钱包被曝光，后续估计的总损失金额已接近 7000 万至 8800 万美元。 截至8月4日，据估计黑客已从超过5,200个独立钱包中窃取了约1,816 BTC，价值约1.16亿美元。

固件补丁可防止新钱包继承该漏洞，但对已在存在缺陷的代码下生成的助记词毫无作用。任何在受影响年份内设置过Coldcard的用户，都必须将自己的比特币转移到新钱包中。

公开转移资金会带来新的风险

对于使用多签名设置的用户（Coldcard用户中常见，他们将资金控制权分散在多个设备上），迁移过程本身就存在风险。公开广播交易会暴露钱包的密钥和支出条件。 若攻击者已持有与之匹配的弱私钥，便可发现该交易，构建一笔手续费更高的竞争交易，并利用比特币网络中名为“按手续费替换”（Replace-by-Fee，RBF）的功能，在原始交易确认前插队并窃取资金。

MARA的Slipstream功能消除了这一暴露窗口。由于交易从未进入公共内存池，在MARA将代币挖入已确认区块之前，攻击者永远无法看到密钥或支出详情。

Slipstream 比此次危机早两年问世

MARA 于 2024 年 2 月 22 日首次推出 Slipstream，旨在协助处理那些因标准政策而被许多比特币节点拒绝中继的大额或异常交易。首席执行官弗雷德·蒂尔（Fred Thiel）当时将其定位为一种在遵守协议规则的同时，让 MARA 的挖矿基础设施为高级比特币用户服务的途径。 此前，在需求高峰或维护期间，访问该功能需要提供客户端代码。如今这一要求已不复存在。

用户仍需承担信任与时机风险

Slipstream仍依赖于MARA挖出区块。交易会一直留在MARA的私有队列中，直到该矿池挖出一个区块，因此处理时间完全取决于MARA在比特币总算力中所占的份额。

截至发稿时，MARA矿池掌控着比特币总算力的5%以上。MARA建议用户将手续费设定在具有竞争力但不过高的水平，因为在手续费飙升期间，卡在其私有队列中的交易可能需要等待一段时间才能确认。

冷卡（Coldcard）持有者的下一步

更广泛的比特币社区将Slipstream的公测重启视为应对安全危机的实用工具，而非大多数交易处理方式的永久性转变。对于日常转账，公共内存池仍是标准途径。 但对于那些仍将比特币存放在已遭泄露种子中的Coldcard用户而言，安全研究人员和钱包开发者一直将Slipstream视为一种更可靠的方式，可在不首先引起攻击者注意的情况下转移资金。

请关注以下动态：随着更多受影响地址浮出水面，损失估算数据将不断更新；Coldcard将发布关于受影响固件版本和序列号范围的进一步指引；以及其他矿机厂商是否会效仿MARA，提供类似的私有提交通道。