Galaxy：Coldcard 漏洞至少涉 15 名黑客，Bitcoin 損失或逼近 1.3 億美元

Galaxy Digital 表示，Coldcard 硬件錢包漏洞曝光後，隨著更多受害者陸續通報，已可辨識至少 15 名不同攻擊者，事件呈現「分散式」入侵，而非單一團隊的集中盜竊。 Galaxy 指，新增個案披露令先前未被發現的失竊情況浮面。研究人員提到，一名受害者報稱損失不足 1 BTC，卻協助追蹤到另一次攻擊：黑客從 126 個地址合共轉走 12 BTC，反映小額報案亦可能揭開更大範圍的盜竊模式。Galaxy 的 Alex Thorn 解釋，由於事件並非交易所遭入侵那種「單一破口」，而是種子被破解後可被不同人士各自利用，因此要歸因、點算受害者及計算總損失特別困難。 損失估算亦持續上調。Galaxy 現時估計，三波已確認攻擊造成的損失接近 1 億美元，並已發現疑似第四波攻擊，或令 Bitcoin 總損失升至約 1.3 億美元。這意味事件仍在重建全貌，未必已完全釐清或收斂。 技術層面的爭議焦點轉向：人工智能能否以極低成本及早找出韌體缺陷。Dragonfly 管理合夥人 Haseeb Qureshi 稱，約 2 美元的 AI 加固測試或可避免事故，並引用有模型在數分鐘內重現漏洞的測試結果。不過相關說法引發質疑，因部分示範發生於漏洞已公開之後。有研究員指出，測試欠缺盲測條件、方法紀錄及偽陽性分析；亦有報告稱某開源模型在不連網情況下用 20 分鐘找出問題，令「預先披露前可否可靠偵測」的討論升溫。 Castle Labs 指出，該漏洞把 Coldcard 私鑰熵值壓低至約 40 bit，遠低於標準 12 字助記詞通常對應的 128 bit。熵值大幅下跌令暴力破解變得更可行，亦可能解釋為何出現多名攻擊者各自入侵。事件凸顯硬件錢包的安全承諾，若被韌體悄然削弱熵值，整體防線便會失效。隨著 AI 降低代碼審查成本，錢包廠商能否在發佈前強化測試，避免細微實作錯誤被自動化工具放大成可規模化盜竊，仍是未解的風險。