Coldcard白帽黑客将52.37枚BTC转入追偿信托基金

白帽安全研究员，将Coldcard硬件钱包漏洞涉及的52.37枚比特币转入怀俄明州加密资产追偿信托，这部分占Galaxy统计被盗总量的2.8%。信托机构Agentic Trace LLC会核对资产归属，确认后还给受害者。漏洞原因是固件随机数生成工具强度不足，2021年之后的设备都会受影响。下面小编简单梳理了Coldcard钱包漏洞事件追偿的最新进展。

白帽运维人员将与7月Coldcard钱包漏洞事件相关的52.37枚比特币转入一个追偿信托关联地址，该信托专门用于将追回的比特币返还给核验通过的资产所有者。

GalaxyDigital研究主管亚历克斯・索恩（Alex Thorn）表示，这批比特币来自追踪的第二波受害资产集群，标记为AA、AU、AX资产痕迹，这笔归集交易记录在比特币区块高度967948。索恩称，该金额占其团队追踪到的被盗资金总量的2.8%。

Coldcard追回资产转入信托托管

本次转账将部分追回的比特币交由加密资产追偿信托（Crypto Recovery Trust）托管。这是一家设立于怀俄明州的法定信托机构，在所有权核验期间，专门托管从遭入侵钱包追回的数字资产。

加密资产追偿信托表示，其职责是通过正式申报流程，将追回资产交还合法持有者。官网公示该法律实体全称为怀俄明追回数字资产法定信托（Recovered Digital AssetS tatutoryT rust of Wyoming），由Agentic Trace LLC担任受托人。

数字资产追偿信托（DART）在本次归集交易前，就已经披露了Coldcard事件的资产追回工作。DART称，截至8月17日，该机构与独立白帽研究人员已经从高危地址保全略超50枚BTC，赶在恶意攻击者之前转移了资产。

DART表示，追回的比特币存放于信托账户，而非研究人员自有钱包或运营账户。整套流程包含链上分析、所有权证明核验以及制裁名单筛查，核验通过后方可返还资产。若存在多方权属主张、制裁限制或涉及刑事诉讼的资金，将走单独法律程序。

9月21日这笔转账为市场提供了最新链上追偿进展。索恩明确这52.37枚BTC属于此前识别出的漏洞受害集群，由白帽方控制。其提到的2.8%比例基于Galaxy追踪的被盗总额统计，并非Coinkite官方公布的损失数据。

Coldcard漏洞根源：助记词生成缺陷

Coldcard安全事件始于7月30日，攻击者利用存在缺陷固件生成的低随机性比特币助记词实施攻击。Coinkite当前事件记录说明：固件集成缺陷，导致助记词生成模块调用了Micro Python的Yasmarang伪随机数生成器，而非预期的硬件随机数发生器。

攻击者无需远程接管硬件钱包。Coinkite解释，由于随机性大幅削弱，受影响助记词更容易被暴力检索，攻击者可离线还原对应的私钥。该公司定性为固件助记词生成故障，并非对Coldcard设备的远程劫持。

独立技术溯源显示，该漏洞可追溯至2021年的固件改动。一份公开调查估算，受影响环境下，旧款Mk3设备有效熵值仅约40比特；Mk4、Mk5以及Q型号约72比特，远达不到设计安全标准。

早期损失规模小于后续多轮攻击合计数据。加密新闻此前报道，Coldcard固件编译错误与第一轮攻击在约25分钟内从约500个钱包盗走约594枚BTC。

后续追踪陆续发现更多钱包与多轮攻击。另一份针对这个长达五年的Coldcard熵漏洞、四轮攻击事件的调查估算，随着分析范围扩大，已有1816枚BTC从超过5200个地址转出。

损失估算数值会因统计的攻击轮次、资产集群与追偿交易口径不同而产生差异。Coinkite当前安全页面并未公布被盗比特币最终确切总额。

Coinkite：固件升级无法修复旧有助记词

Coinkite在7月31日针对受影响固件发布紧急修复。公司下载档案显示，Mk4/Mk5版本5.6.0、Q版本1.5.0Q为首批正式版本，可保障后续新生成助记词安全；同时发布补丁修复老旧Mk2/Mk3设备与Edge固件。

首轮补丁之后安全维护持续推进。当前推荐正式版本：Mk4/Mk55.6.2、Q1.5.2Q，均在9月3日发布。Edge用户使用Mk4/Mk5对应的6.6.1X以及Q型号对应的6.6.1QX。

Coinkite着重强调：安装修复固件无法改变已经生成的旧有助记词。即便设备更新至最新固件，使用漏洞固件生成的钱包依旧存在风险，隐患根植在助记词本身。

公司建议受影响用户生成全新合规助记词并迁移资产，除非满足官方独立骰子生成的例外条件。Coinkite说明，在规范流程下，至少50次独立、私密记录的公平六面骰子投掷，可提供至少128比特额外熵；无法确认满足该条件的用户，一律建议迁移资产。

受害者可向信托提交所有权申报

追偿流程核心是核验白帽归集比特币对应的地址实际控制人。加密资产追偿信托官网可供申报人查询追偿信息、追踪申报进度、上传佐证材料。

DART表示，该信托架构可在确权阶段，将追回比特币与研究人员自有资金、运营资金完全隔离。DART披露，受托人由Steptoe律所国家安全业务团队律师提供法律支持，部分资产返还需要开展制裁筛查、对接执法机构或处理多方权属争议。

DART称，参与本次资产保全的白帽研究人员并未索取赏金。8月统计完成后，DART仍在核查其他高危资产与潜在追偿线索，未来或有更多Coldcard相关资金进入资产申报流程。

对于仍在使用漏洞固件生成助记词的钱包，Coinkite当前指引不变：安装并校验修复版固件，使用修复后的流程生成新助记词，将资金从高危助记词钱包转出。