Coldcard 白帽子将 52.37 BTC 转移至恢复信托

白帽操作员已将与 7 月 Coldcard 钱包漏洞相关的 52.37 BTC 转移至一个与恢复信托相关的地址，该信托旨在将救回的比特币归还给经过验证的所有者。

摘要

• 白帽操作员将与 Coldcard 漏洞钱包相关的 52.37 BTC 转移至恢复信托地址。
• 根据 Galaxy Digital 研究员 Alex Thorn 的说法，此次转移占追踪到的漏洞资金的 2.8%。
• Crypto Recovery Trust 表示，经过验证的所有者可以提交索赔并提供证据以获得归还的资产。
• Coinkite 表示，修复后的固件可以修复未来的种子生成，但无法修复已经受损的钱包种子。
• 当前推荐的 Coldcard 固件版本分别为 Mk4/Mk5 的 5.6.2 和 Q 设备的 1.5.2Q。

Galaxy Digital 研究主管 Alex Thorn 表示，这些比特币来自追踪的 Wave 2 集群和标记为 AA、AU 和 AX 的足迹，合并记录在比特币区块 967,948 中。Thorn 说，这一金额占他团队追踪的漏洞资金的 2.8%。

❄️COLD CARD 白帽子将资金转移至信托 🏳️

52.37 BTC 由来自 Wave 2 的币组成，足迹 AA、AU、AX 合并至一个新的地址，区块 967,948 中的 OP_RETURN "claim:cryptorecoverytrust dot com"

这些白帽子资金占 Coldcard 漏洞的 2.8% pic.twitter.com/c5eYeQMxHQ --- Alex Thorn (@intangiblecoins) 2026年9月21日

根据 Thorn 的说法，目标交易携带了指向 "claim:cryptorecoverytrust dot com" 的 OP_RETURN 消息。Galaxy Research 还单独识别出同一区块中涉及 20 个输入和 480 个输出的活动，并发布了交易 ID 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47。

Coldcard 恢复将救回的比特币转移至信托

此次转移将部分救回的比特币置于 Crypto Recovery Trust 之下，这是一个怀俄明州的法定信托，旨在持有从受损钱包中恢复的数字资产，同时检查所有权索赔。

Crypto Recovery Trust 表示，其角色是通过正式的索赔程序将恢复的资产与其合法所有者重新结合。其网站将法律实体标识为怀俄明州的恢复数字资产法定信托，并将 Agentic Trace LLC 命名为受托人。

数字资产恢复信托（DART）在最新合并之前，已经披露了与 Coldcard 事件相关的恢复工作。DART 报告称，截至 8 月 17 日，它和独立的白帽研究人员已从脆弱地址中安全地获取了超过 50 BTC，并在恶意行为者能够接触到之前转移了这些资金。

DART 表示，恢复的比特币被放置在信托中，而不是研究人员控制的钱包或运营账户中。其过程包括区块链分析、所有权证明检查和制裁筛查，才能归还资产。涉及竞争索赔、制裁限制或刑事诉讼的资金可能会遵循单独的法律程序。

9 月 21 日的转移提供了对这些恢复努力的新链上视图。Thorn 将 52.37 BTC 特别与之前识别的漏洞集群联系起来，同时将其描述为白帽控制的资金。他的 2.8% 计算是指 Galaxy 追踪的漏洞总额，不应被解读为 Coinkite 的官方损失数字。

Coldcard 漏洞始于种子生成缺陷

Coldcard 事件始于 7 月 30 日，攻击者利用了受影响固件生成的脆弱比特币钱包种子。Coinkite 当前的事件记录解释说，固件集成缺陷导致种子生成路径解析为 MicroPython 的 Yasmarang 软件伪随机生成器，而不是预期的硬件随机数生成器。

攻击者并不需要远程控制硬件钱包。Coinkite表示，他们在随机性降低后离线重新生成了易受攻击的私钥，使得受影响的种子短语更容易被搜索。该公司将此次事件描述为固件种子生成失败，而不是Coldcard设备的远程接管。

独立技术研究追溯到2021年的固件更改导致了这一漏洞。一项公开调查估计，较旧的Mk3设备在受影响的条件下大约只能产生40位有效熵，而Mk4、Mk5和Q型号则保持了大约72位，而不是预期的安全水平。

早期损失小于后续多个攻击波所关联的总额。正如crypto.news之前报道的，Coldcard固件构建错误和第一波比特币损失涉及大约594 BTC，来自约500个钱包，时间约为25分钟。

后续追踪识别了更多钱包和攻击波。对五年Coldcard熵缺陷和四个攻击波的另一个crypto.news调查估计，1,816 BTC已从超过5,200个地址转移，因为分析师扩大了识别范围。

因此，损失估计因包含的攻击波、集群和恢复交易而异。Coinkite当前的安全状态页面没有发布所有被盗比特币的单一确切总额。

Coinkite表示固件更新无法修复旧种子

Coinkite于7月31日发布了针对受影响固件线的紧急修复。该公司的下载档案显示，Mk4/Mk5版本5.6.0和Q版本1.5.0Q是首个标准发布，修正了未来的种子生成，而单独的补丁覆盖了较旧的Mk2/Mk3设备和Edge固件。

在初始补丁后，安全工作继续进行。当前推荐的标准发布是Mk4/Mk5 5.6.2和Q 1.5.2Q，均于9月3日发布。Edge用户被指引至Mk4/Mk5的6.6.1X和Q的6.6.1QX。

Coinkite强调，安装修复固件并不会改变现有的种子。在易受攻击的固件下生成的钱包即使在设备收到最新更新后仍可能保持暴露，因为漏洞存在于种子本身。

受影响种子的用户被指示生成一个修正的替代种子并迁移资金，除非他们符合公司所述的独立骰子例外。Coinkite表示，至少50次公平、独立和私下记录的六面骰子掷骰在相关工作流程下提供至少128位的额外熵，尽管对条件不确定的用户被告知要迁移。

受害者可以向恢复信托提交所有权索赔

恢复过程现在集中在验证谁控制了白帽子清扫比特币的地址。Crypto Recovery Trust允许索赔人通过其网站搜索恢复信息、跟踪提交的索赔并提供额外的支持证据。

DART表示，该信托的结构旨在在建立所有权的同时将恢复的比特币与研究者和运营资金隔离。根据DART的披露，Steptoe国家安全实践的律师为受托人提供建议，因为一些归还的资产可能需要制裁、执法或竞争所有权审查。

参与DART早期恢复工作的白帽研究人员并未要求赏金，组织表示。DART表示，在其8月的统计后，其他易受攻击的资产和可能的恢复线索仍在审查中，留下了进一步与Coldcard相关的资金进入索赔过程的可能性。

对于仍依赖于在受影响Coldcard固件下创建的种子的钱包，Coinkite当前的指示保持不变：安装并验证修复的固件版本，在修正的过程中创建新的种子，并将资金转移出易受攻击的种子。