硬件钱包漏洞引发链上资产大规模流失，系统性风险初现端倪

据Galaxy Research最新评估，因Coldcard硬件钱包固件缺陷所引发的比特币资产损失已达1,596 BTC（约合1亿美元），涉及三轮已确认攻击及14起小型事件。若将尚未完全证实的第四轮攻击纳入估算，总损失可能攀升至2,055 BTC（约1.3亿美元），但官方声明指出，在更多受害者披露前，暂不将其计入最终统计。

多源数据差异显现：追踪机制与时间窗口影响结果

TRM Labs独立分析显示损失约为1,816 BTC（约1.16亿美元），与Galaxy数据存在偏差，主要源于取证方法与时间节点的不同，并非彼此矛盾。该事件为2026年8月前十日内发生的五起比特币基础设施故障之一，使7月整体损失达2.474亿美元，成为当年第二严重月份。

三类漏洞共存，皆根植于被遗忘的安全假设

这些攻击虽类型各异，却共享同一深层成因：多年未被重新验证的设计前提。Coldcard问题源自2021年3月引入的固件配置错误——本意强制使用硬件随机数生成器，实则因底层库未执行而失效，导致种子生成依赖芯片序列号与定时器寄存器等非机密信息，形成可预测的熵值来源。尽管Coinkite已发布修复补丁，但无法追溯保护此前生成的密钥。

BTCPay Server运营商遭遇的则是凭证管理漏洞，攻击者通过暴露的远程接口获取LND守护进程的macaroon令牌，从而实现节点控制，无需额外身份验证。而Bybit案例则体现人为审核环节的脆弱性：伪造签名界面诱导用户误认交易目标，合约代码虽经审计，但人工审查环节失守。

90%资金未动，3%被追回，14.5%属高危：关键数字背后的现实

在所有受波及事件中，最值得关注的是数据背后的真实含义：来自Coldcard的被盗比特币中，90%自流出后从未转移，意味着攻击尚未终结，仅处于暂停状态；而Bybit事件中，尽管胜诉并冻结部分资产，实际追回金额仅为4,840万美元，加上冻结的3,050万美元，合计占原损失总额的约3%，仍有90.2%难以追踪。

Calle主导的众包AI安全审计覆盖390个比特币项目，发现4,962项异常，其中720项被评为严重或高危，严重率高达14.5%。这一比例与Galaxy对第四轮攻击的推演逻辑一致，均表明当前分析能力已超越可确认范围。

“系统性”解读面临质疑：孤立事件与共性模式之争

并非所有涉事方认同“系统性”判断。Coinsbuy明确表示，其漏洞系独立事件，不反映基础设施深层缺陷。现有证据显示，该事件为多链钱包入侵，与Coldcard的熵值问题或BTCPay的凭证设计无技术关联。本文所称“系统性压力”，实指基础设施层普遍存在的“陈旧假设未重检”现象，而非同一原因导致。

澄清误传：开发者归属与工作范畴需严格区分

报道曾错误归因一句引述至“AI安全活动创始人”，实际出自Rob Hamilton——Bitcoin Red Team组织负责人，其言论源于OpenAI限制其访问信任工具后的表态。该表述与由Calle领导的4,962项发现/390项目审计并无直接关联。目前尚无证据证明二者为同一行动，不应合并叙述。

关键时间线：从漏洞埋下到多方响应

2021年3月：Coldcard引入未标记的固件构建错误。 2026年7月30日：首波确认的盗币潮启动。 2026年8月3日至7日：第二至第四轮攻击爆发，Galaxy Research估算从7,000万美元升至1.3亿美元。 2026年8月4日：Ledger首席技术官Charles Guillemet公开回应，强调随机性在安全模型中的核心地位。 2026年8月7日：Bybit获联邦法院初步禁令，冻结朝鲜侦察总局及Lazarus集团相关资产。 2026年8月9日：BTCPay Server限制远程访问并发布补丁。 2026年8月10日：Coinsbuy披露790万美元资金流失。

未来验证路径：如何确认或推翻当前分析

Galaxy Research关于第四轮攻击的方法论完整披露，将取决于受害者后续确认情况。此外，除Coinkite与Ledger外，其他硬件钱包厂商是否承认此类设计风险具有普遍性，亦是关键验证点。同时，7月2.474亿美元损失的完整数据集，以及与历史月份的对比分析，有助于判断是否构成持续趋势。

常见问题解答：用户最关心的几点澄清

固件更新后，我的Coldcard是否仍存风险？ 仅当密钥在修复前生成。更新阻止新设备出现类似问题，但无法保护旧密钥。请以Coinkite官方指南为准，不可依赖本文作为个人建议。

实际追回金额有多少？ 极低。Bybit案件中追回4,840万美元，冻结3,050万美元，占总损失的约3%。Coinsbuy方面，仅冻结六位数金额，且未完成洗钱流程。

文中“系统性”说法是否得到外部支持？ 否。此为本文独立分析结论。Coinsbuy已否认其事件具有系统性特征，且单月数据尚不足以支撑长期趋势判断。

谁负责了本次比特币AI审计？ 4,962项发现、覆盖390项目的审计由化名开发者Calle主导。另一人物Rob Hamilton（Bitcoin Red Team）虽曾发声，但两者是否同源尚未有依据确认。