Coldcard 钱包遭 1.16 亿美元攻击后，厂商紧急反转数据删除政策

Coinkite，Coldcard 钱包制造商，近日宣布将在数据处理方式上做出重大调整，停止自动删除客户记录，以应对可能产生的法律义务。这一逆转与7月30日暴露的固件漏洞直接相关，该漏洞已导致逾1亿美元比特币被盗。

Coinkite 表示，未来将改变与2026年7月30日披露的安全事件相关的客户数据处理方式。此前，该公司通常会例行删除客户记录，仅保留电子邮件地址和居住国。声明未明确将存储哪些具体信息，也未说明保留时长。

该事件源于2021年3月发布的固件版本4.0.1中的漏洞。TRM Labs 警告称，安装修复后的固件只能保护未来的钱包，任何在2021年3月至修复期间使用存在漏洞的 Coldcard 创建的种子均不应视为安全。

自漏洞被曝光以来，已发生四波攻击。第一波在25分钟内盗走约594 BTC（当时价值近3800万美元），涉及约500个钱包。Galaxy Research 追踪了随后四天内的另外三波攻击。截至目前，攻击者已累计控制1,816 BTC，涉及超过5,200个地址。TRM Labs 称之为2026年第三大加密货币黑客事件，当年行业已在276起事件中损失超过12亿美元。

随着损失增加，Coinkite 被指早在多年前就知晓该漏洞。公司对此公开澄清：并不存在弱熵回退机制，名为 Yasmarang 的弱伪随机数生成器是 MicroPython 内置的通用生成器，而非 Coinkite 的回退方案。此外，2021年的一段播客常被引为事先知晓的证据，但 Coinkite 指出那涉及的是另一个漏洞，而非随机数问题。公司官网的历史披露页面列出了自2019年以来的23项安全相关事件。

从地域看，加拿大受损最严重。Chainalysis 数据显示，约25%的损失可追溯到加拿大持有者，美国和泰国也受到重创。Chainalysis 将此归因于加拿大早期的比特币采纳和影响者推广。CoinMarketCap 的研究指出，该漏洞事件已动摇用户对自我托管的信任，部分比特币用户重新转向中心化交易所。与此同时，由 AnchorWatch 首席执行官 Rob Hamilton 领导的“Red Team”小组已开始对钱包和库进行 AI 辅助审计，迄今已扫描150个仓库。