Coldcard再遭攻击：2440万美元待处理，用户如何自救？

据 Woofun AI 消息，Galaxy Digital 董事总经理兼全公司研究部门负责人亚历克斯·索恩指出，在首波安全事件调查仅数日后，8月3日世界标准时间1点左右，Coldcard 钱包用户群体很可能正面临第二波针对性攻击。

这一判断基于对区块链数据的分析，标志着该硬件钱包的安全漏洞影响范围可能正在扩大，而非孤立个案。值得注意的是，此次分析并非 Coinkite 或执法机构的官方定论，而是基于链上异常模式的独立研判，其核心在于识别出与早期攻击特征高度吻合的资金流动轨迹，从而为潜在受害者争取宝贵的响应窗口。

更关键的变量在于，攻击者并未采取一次性清空策略，而是通过分散化手段隐藏踪迹，使得传统监控手段难以在第一时间捕捉全貌，这要求用户必须主动介入自查，而非被动等待官方通报。

从结构上看，这种攻击模式的复现不仅验证了此前固件边界漏洞的持续可利用性，也暴露了硬件钱包在私钥管理环节的系统性风险，迫使整个行业重新审视冷存储设备的安全假设。

Woofun AI 整理数据显示，在 Block 960,778 至 Block 960,792 这约 2.5 小时的窗口期内，链上共发生 218 笔疑似恶意交易，涉及 462 个疑似受害地址及 216 个此前从未使用过的接收地址，累计转移比特币总量达 388.92748828 枚。按当时约 62,700 美元的比特币成交价计算，这批资金价值约为 2440 万美元，但这仅是疑似被转移金额，并非最终确认的不可追回损失。数据对比揭示出惊人的异常波动：每个区块中此类攻击交易平均高达 13.8 笔，而事件发生前的对照期内仅为 0.3 笔，激增幅度达到正常水平的 45 倍。

这种数量级的跃升绝非随机噪声，而是有组织攻击的典型特征。深入分析交易输入历史发现，所有涉案交易的输入地址均位于与该安全漏洞相关的固件边界之后，且接收地址呈现出高度一致的模式——几乎每笔交易都将资金发送至全新的独立地址，仅有一个接收地址例外地接收了两笔转账。攻击者刻意避免将比特币集中汇入单一钱包，而是将其分散至数百个新地址，这种'化整为零'的策略旨在降低被链上分析工具标记的风险，使得攻击行为在初期难以被察觉。

尽管分析尚未查明控制这些接收地址的具体实体，也未确定最终受影响的用户总数，但 388.9 枚比特币的总量已涵盖已确认交易与仍处于内存池中的待处理交易，表明攻击仍在进行中，部分资金尚有拦截可能。

技术层面的关键在于内存池（mempool）机制与 RBF（按费用替换）功能的交互作用。内存池是有效比特币交易在被矿工打包进区块前的暂存区，若一笔未确认交易启用了 RBF 功能，则允许发送方通过支付更高手续费来替换原交易。索恩的分析指出，该数据集中的已确认交易在进入区块前均设置了 RBF，这意味着那些仍在等待确认的类似交易很可能也具备相同属性。只要受害者仍掌控相关资金的私钥，即可发起一笔金额相同但手续费更高的替代交易，将比特币转移至安全钱包。

然而，这种恢复手段存在显著不确定性：替代交易必须符合比特币协议规则，且需在与攻击者的手续费竞价中胜出；一旦未经授权的交易被确认，挽回机会即刻消失。更严峻的是，部分比特币已从第一层地址（初始接收地址）转移至第二层地址，表明初始转账已获确认，RBF 机制对此类已上链交易无效。'按费用替换'功能仅能竞争内存池中的交易，无法撤销区块链上的既定记录。

尽管如此，比特币的透明性使得资金轨迹仍可追踪，尽管后续转账可能将资金分散至更多地址、与其他资金合并，或转入交易所及其他服务平台。要实现资金恢复，用户需定位这些服务平台，并争取其运营方或执法机构的协助，以冻结或追回涉案资产。

面对潜在损失，用户应立即执行自查程序：首先审查交易历史，识别未经授权的支出记录。若可疑交易仍未确认且处于可替换状态，账户所有者应迅速发起高手续费交易，将资金转移至由全新安全凭证创建的新钱包。切勿将资金转入由同一组可能存在安全隐患的助记词生成的地址，因为这无法消除根本风险。对于不熟悉操作流程的用户，强烈建议立即寻求值得信赖的比特币安全专家的帮助，避免自行处理受影响的资金，以免加剧损失。所有剩余比特币均应迁移至新钱包，确保私钥与备份信息的安全隔离。用户绝不能向任何声称能协助恢复资金的人提供助记词、私钥、钱包备份信息或密码，因为查看公开交易或判断其确认状态无需这些敏感信息。若未经授权的交易已获确认，用户应妥善保存交易编号、钱包记录及相关设备信息，以便日后用于追踪、报告及配合执法机构调查。这是继首波攻击后，Coldcard 用户面临的又一次严峻考验，及时行动与专业协助是最大限度减少损失的关键。