Coldcard X 账户在 1 亿美元风波后遭遇网络钓鱼诈骗

Coldcard的安全噩梦加剧：官方X账号出现钓鱼帖

Coldcard又面临一个安全难题，而这次问题竟源自其自身的社交媒体账号。10月11日周日凌晨，这家硬件钱包制造商的官方X账号上出现了一条欺诈性帖子，该帖子以所谓的“助记词生成漏洞”为由向用户发出警告，并引导用户访问一个钓鱼网站。

该消息最终被删除，但这一事件引发了一个令人不安的问题：攻击者究竟是如何发布这条信息的？Coldcard声称其账户凭证和离线双因素认证依然完好无损，且内部调查未发现相应的未经授权登录或会话记录。

令人信服的警告，却指向危险的链接

这条欺诈性消息于协调世界时（UTC）凌晨2点左右出现，伪装成一条紧急的Coldcard安全更新。消息声称近期固件中存在一个影响助记词生成的严重漏洞，并指示客户立即迁移其钱包。

该帖子提及了多款Coldcard硬件型号，并引导用户访问了一个冒用Coldcard名义的欺诈网站。其措辞尤其令人担忧，因为它借用了今年早些时候该公司遭遇的一起真实安全事件来增强可信度。

社区成员迅速拉响了警报，Coldcard最终撤下了该消息。协调世界时（UTC）凌晨5点46分左右，该公司承认了这一事件，并警告客户切勿点击该可疑链接。Coldcard表示：

“我们正在调查为何该账号会发布包含钓鱼链接的帖子。该帖子现已删除。”

该公司强调，coldcard.com 是其唯一的官方网站，并表示自 2017 年以来，其账户一直采用离线双因素认证并实施严格的访问限制。

Coldcard 向 X 平台追问真相

大约20分钟后，事件变得更加扑朔迷离——Coldcard公开要求X平台客服进行紧急调查。该制造商坚称，其安全审查未发现任何账户遭未经授权访问的证据。 “我们的账户上出现了一条钓鱼帖子，但我们找不到相应的登录、会话或访问记录，”该公司解释道。

Coldcard对可能存在的平台级或管理员级访问权限表示担忧，尽管这一说法尚未得到证实。这家陷入困境的硬件钱包制造商还提到了暗网市场上有人兜售X管理员凭证的报道，但承认尚未证实其与此次事件存在关联。

目前，谜团的焦点在于：一条欺诈信息是如何进入该账户的，而账户所有者坚称其常规安全控制措施从未被突破。目前尚未有确凿证据表明周日的钓鱼攻击造成了具体的财务损失。

7月那场1亿美元的灾难再度困扰Coldcard

时机再糟糕不过了。今年7月，Coldcard曾遭遇一个严重的固件缺陷，据报道该缺陷允许攻击者重建存在漏洞的钱包种子，并窃取了约1,600至1,800枚比特币，当时价值约1亿美元至1.3亿美元。

据报道，该根本问题可追溯至2021年3月，涉及种子生成缺陷——生成的随机性远低于预期。攻击者利用这一弱点，通过离线测试潜在的恢复短语来实施攻击，而非直接入侵物理设备。

Coldcard随后发布了固件修复程序，并指导受影响的客户将资金迁移至新生成的钱包中。周日的钓鱼攻击正是利用了这一漏洞，将恶意网站伪装成合法的安全指南。

透明外壳与愤怒的客户

此次最新事件发生前，Coldcard曾于10月9日在社交媒体上发布了一条颇具争议的帖子，宣传其透明硬件外壳可防止物理篡改。巧合的是，该社交媒体帖子发布之际，正值人们发现Ledger设备可能已被第三方供应商或在供应链的某个环节遭到篡改。

批评者猛烈抨击了这一发布时机，认为透明塑料和防篡改包装对导致7月资产损失的软件缺陷几乎起不到任何防护作用。加密货币社区的数名成员认为该帖子品味低劣、不合时宜，且发布时毫无羞耻之心。 部分客户和观察人士还指责 Coldcard 及其联合创始人罗道夫·诺瓦克（Rodolfo Novak）在 X 上屏蔽了批评者和自称的受害者。 如今，该公司正面临新一轮的审查，这次的焦点在于其官方沟通的诚信度。Coldcard 继续仅引导客户访问其官方网站以获取固件更新和钱包迁移指南。

这一最新事件让该制造商陷入了尤为尴尬的矛盾境地。一家以将私钥置于网络攻击者无法触及之处为宗旨的公司，如今却不得不调查其自身受信任的沟通渠道如何竟沦为网络钓鱼诈骗的工具。