Galaxy Research当地时间31日表示，Coldcard硬件钱包漏洞已导致近1200个地址中的比特币被转出，涉案规模超过1000枚BTC，按当前市价计算约合7000万美元。
据The Block报道，制造商CoinKite于30日发布公告称，Coldcard Mk3设备在特定固件版本下生成的助记词（种子）存在风险。该公司提醒，在该设备上使用2021年3月发布的4.0.1及后续版本固件生成助记词的用户，资金可能面临安全威胁。
此后，CoinKite进一步将受影响范围扩大至部分Mk4、Mk5以及Coldcard Q相关固件版本，并向涉及型号推送紧急固件更新。
CoinKite首席执行官Rodolfo Novak于31日发布致歉声明称，公司将对这一固件缺陷负责，并承认内部审核流程未能提前发现问题。他还表示，此次漏洞可能是由AI发现，并将其称为“新的AI范式带来的冷酷现实”。
随后，Galaxy Research在社交媒体披露分析结果称，根据区块链工程师识别并由Clay Garrett分享的可疑模式对资金流向进行追踪后发现，截至30日凌晨1时10分至1时51分之间，共有1196个地址中的1082.65枚比特币被全部转出，按当时市值约合7020万美元。
在CoinKite发布公告前，已有用户陆续在网上反映，其Coldcard钱包中的比特币被转走。Galaxy Research还指出，受该漏洞特性影响，今后由Coldcard生成的地址仍可能面临攻击风险。
CoinKite建议用户尽快更新固件并重新生成助记词，在转移全部资产前，先通过小额交易测试新钱包；在确认转账完成之前，应保留原有备份。
记者信息
Chi-gyu Hwang
delight@d-today.co.kr