同时关联该项目与事件的快讯
硬件钱包 Coldcard 遭黑客攻击，目前尚无确定损失总额。区块链分析平台 CryptoQuant 确认损失为 1432 枚比特币，Galaxy Research 给出的高可信最低值为 1730 枚比特币。其他分析显示，损失规模可能更高。 研究机构 Galaxy Research 表示，其早前估计的 1816 枚比特币属于潜在数值，并非已确认总额。截至周二，该机构确认的高可信最低损失为 1730 枚比特币，其中直接依据受害者报告确认的资金超过 450 枚比特币。 区块链情报公司 TRM Labs 估计，攻击者分四个阶段从超过 5200 个地址转移约 1816 枚比特币。CryptoQuant 表示，其确认数据仅纳入受害者公开披露并经链上模式核验的地址，随着更多受害者披露信息，统计数字可能上升。（Cointelegraph）
据 Galaxy 研究主管监测，截至目前，被盗币的中位休眠时间为 3.5 年，88%的被盗币币龄超过 1 年。按地址统计，中位损失为 0.014 枚 BTC，平均损失为 0.212 枚 BTC；已收到超 250 份受害者报告。按受害者报告统计，中位损失为 1.022 枚 BTC，平均损失为 4.04 枚 BTC，所有报告的损失范围为 624 聪至 58.97 枚 BTC。
DefiLlama 数据显示，7 月黑客窃取 2.47 亿美元加密资产，为 2026 年以来仅次于 4 月 6.44 亿美元的第二高月份；该金额较 6 月 7500 万美元和 5 月 6000 万美元均大幅增加。 Galaxy Digital 表示，Coldcard 漏洞为当月最大攻击事件，已确认三轮攻击涉及 7300 个钱包，至少 1 亿美元比特币被盗；其还识别出疑似第四轮攻击，可能使总损失达到约 1.3 亿美元。DefiLlama 黑客追踪器估算，该漏洞相关损失为 1.15 亿美元。 7 月其他攻击事件包括去中心化金融协议 Bonzo Lend 遭 900 万美元攻击、基于 Cardano 的钱包 SecondFi 被盗 260 万美元、基于 Arbitrum 的永续交易平台 AFX 被盗 2400 万美元，以及 Verus Ethereum Bridge 被盗 750 万美元。
据 Bitcoin News 监测，Galaxy Research 表示，已知最大规模的 COLDCARD 被盗事件涉及 1159 枚 BTC，分散在七个攻击者地址中，目前仍未被动用，0 枚 BTC 被兑现或通过混币器转移。相关 BTC 在 41 分钟内被盗，但约 600 个攻击者地址已被执法机构、交易所和区块链分析公司标记。与此同时，一名规模较小的攻击者似乎已开始清洗资金。链上分析师追踪到 64 枚 BTC 进入混币器，其中最初仅约 10 枚 BTC 完成混币，54 枚 BTC 作为找零返回，随后被拆分为约 7 枚 BTC 的输出，用于进一步混币。分析师表示，这些异常大的输出仍易于追踪，使该清洗尝试相对透明。
据 Bitcoin News 监测，Galaxy Research 的 Alex Thorn 表示，研究人员最初通过一种独特的链上模式识别出第一波 COLDCARD 被盗事件：数千笔自动化资产转移交易使用相同的固定费率，并呈现相同的交易行为。该特征使分析师能够在比特币 UTXO 历史中追踪攻击者活动，并绘制出多轮协同盗窃行为。
Chainalysis 于 X 平台发文表示，Coldcard 黑客攻击对加拿大比特币持有者尤其具有破坏性。我们对攻击者和受害者的分析发现，加拿大 BTC 持有者承担了 25% 的可归因损失。根据 Galaxy Research 归集估计，损失高达 1.1 亿美元，我们分析了此次持续黑客攻击的地理分布。澳大利亚、美国和泰国地区的用户也出现了重大损失。
Galaxy Digital 研究主管 Alex Thorn 表示，根据事件发生后收到的新增受害者报告，Coldcard 漏洞攻击者数量已至少达到 15 个。Thorn 称，受害者提供的信息帮助研究团队发现了此前未被识别的攻击活动。由于该漏洞攻击方式不同于中心化交易所被盗事件，攻击者之间的关联需要依靠链上分析和受害者反馈进行确认。他表示，仅一名受害者报告不足 1 枚 BTC 被盗，就帮助团队发现了一起此前未知的攻击，该攻击从 126 个地址中窃取约 12 枚 BTC。据 Galaxy Research 此前估计，Coldcard 漏洞已导致至少三轮攻击，损失约 1 亿美元 BTC；此外，Galaxy 还发现疑似第四轮攻击，可能使总损失规模升至约 1.3 亿美元。与此同时，该事件也引发了关于比特币自托管安全性的讨论。Dragonfly 管理合伙人 Haseeb Qureshi 表示，约“2 美元成本的 AI 安全加固”可能就能避免此次漏洞，并称部分 AI 模型能够在较短时间内重新发现相关漏洞。不过，业内人士指出，目前关于 AI 发现漏洞速度的说法缺乏严格的盲测和验证。研究人员认为，随着 AI 模型能力提升，加密行业漏洞发现和攻击成本可能持续下降，钱包开发者需要进一步加强代码审计和安全防护。（Cointelegraph）
硬件钱包制造商 Trezor 和 Foundation 警告，Coldcard 固件漏洞披露后，针对硬件钱包持有者的钓鱼尝试增加，攻击者索取恢复短语并诱导下载恶意软件。 安全公司 Proofpoint 发现，钓鱼邮件冒充 Coldcard 邀请用户完成“硬件审计”，并链接至克隆网站。用户点击后会下载托管在 GitHub 的批处理文件，安装远程访问工具 ScreenConnect。 Proofpoint 表示，虚假网站还设置客服聊天窗口，由真人引导受害者完成安装。该远程访问工具可为攻击者提供数据和资金窃取路径，或进一步部署勒索软件等恶意程序。 Galaxy Research 确认自 7 月 30 日以来发生三轮盗窃，高置信度损失为 1596 枚 BTC，超过 1 亿美元；若计入尚未与受害者确认的第四轮，总损失可能达到 1.3 亿美元。
比特币硬件钱包制造商 Coinkite 于 2026 年 7 月下旬披露，2021 年 3 月引入的固件构建错误导致部分 Coldcard 钱包从较小范围生成助记词，降低了用户私钥随机性。 Galaxy Research 研究人员表示，Coldcard 漏洞利用分多轮发生，观测到的比特币损失在数日内从约 8800 万美元增至近 1.14 亿美元。研究人员警告称，其他易受影响地址仍可能成为目标后，许多 Coldcard 用户转移了其比特币。 Coldcard 是一款仅支持比特币的钱包，支持通过 microSD 卡和可选二维码进行离线签名。该钱包于 2017 年推出，长期被视为侧重安全的比特币硬件钱包之一。
Galaxy 研究主管 Alex Thorn 分析，新一轮针对 Coldcard 钱包地址的比特币扫荡攻击正在进行，Coldcard 硬件钱包相关漏洞攻击累计损失规模可能接近 1.14 亿美元。此次攻击主要影响单签钱包，尚未发现多签钱包受到波及。目前并未收到直接受害者报告，判断主要基于链上交易模式分析，部分攻击交易仍处于未确认状态。
据 Galaxy 研究主管监测，疑似有组织 Coldcard 攻击正在发生，内存池中仍有类似交易等待确认，此前已确认交易显示启用 RBF。区块 960,778 至 960,792 期间，约 2.5 小时内出现 218 笔交易，涉及 462 个受害地址、216 个新目的地址和 388.92748828 枚 BTC；所有交易均没有早于 Coldcard 固件边界的输入。该时段每区块清扫率为 13.8 次，事故前对照窗口为每区块 0.3 次，约为 45 倍。交易拓扑为 1:1，每个受害地址对应一个新目的地址，仅一个目的地址收到两次清扫，未出现汇集地址。部分资金已被清扫至第二跳地址。
硬件钱包公司 Coinkite 旗下 Coldcard 系列钱包出现种子生成随机性漏洞，过去两天内威胁行为者窃取逾 1000 枚 BTC。Galaxy Research 数据显示，截至周六美东时间 17:36，该事件涉及 1367 枚 BTC，亏损超 8800 万美元。 Coinkite 为通知可能受影响用户，向自 2019 年以来通过商店和新闻通讯系统留存的邮箱地址发送安全提醒。Coldcard 确认相关邮件来自 Coinkite，并表示已尽可能联系所有可触达地址。 Coinkite 因保留客户邮箱数据受到批评。公司表示，其公开政策说明会保存购买邮箱地址，以便客户登录并检查其他信息已被清空，但未说明删除时间表，并称这些地址将“暂时”保留。 Coinkite 联合创始人兼 CEO Rodolfo Novak 此前表示，公司不存储客户信息，购买 90 天后会删除客户数据，并提供匿名购买选项。
Galaxy 研究主管 Alex Thorn 发文表示，围绕 Coldcard 钱包的攻击事件仍在持续发展，目前已经出现更多小型攻击者和模仿者，针对剩余 Coldcard 助记词展开攻击，他称通过协助已确认一名攻击事件中存款用户的身份，相关资金在 Duel 平台能够冻结之前已经被转出，而且涉及的资金并不属于 Galaxy Research 此前识别出的三轮主要攻击浪潮。 此前，Coldcard 疑似安全事件引发市场关注，多名研究人员发现部分由 Coldcard 生成的钱包地址出现异常资金转移。Galaxy Research 仍在持续追踪攻击地址，并提醒仍使用相关钱包种子的用户尽快采取安全措施。此次事件也进一步凸显了硬件钱包安全、私钥管理以及自托管风险防范的重要性。
据 Galaxy 研究主管监测，一名受害者 Coldcard 钱包遭黑客攻击，涉及近 30 枚 BTC，其中 17 枚 BTC 经 THORChain 兑换为 ETH，随后存入 Duel.comcasino。该受害者和一名研究人员已向 Duel.comcasino 所有已知地址发送邮件，要求其冻结相关资金，并提供了所有交易和存款信息。黑客将源自该起涉及约 30 枚 BTC 的 Coldcard 攻击事件的 229.72497255 枚 ETH 存入 Duel.comcasino，价值 44.5 万美元。受害者表示，Duel.comcasino 回应称需由警方联系其团队。Duel.comcasino 的反洗钱政策声称其执行了解你的客户程序并遵守所有相关法律。相关存款完成数分钟后，Duel.comcasino 即收到通知。截至目前，Duel.comcasino 尚未冻结相关资金；由于事发时西方大部分地区已过午夜，警方报告至少要到周一才能提交。若 Duel.comcasino 不冻结相关资金，受害者将对其采取法律行动。Duel.comcasino 的 X 账号已被暂停，Galaxy 研究主管还在 X 上标记了疑似与其有关的人员，包括团队成员和经销商等：@korraflow、@atrois7、@MiaMalkova。
Galaxy Research 主管 Alex Thorn 在 X 平台发文表示，针对 Coldcard 生成弱随机数钱包地址的攻击仍在持续，用户若仍持有相关 Coldcard 单签钱包资金，应立即迁移至安全地址。目前已持续将新的受害者地址和攻击者地址加入调查数据库，并计划通过 Galaxy Research 发布最新受影响地址数量统计。其指出，此前发现的第 1、2、3 波攻击呈现明显的程序化特征，被盗 BTC 目前仍停留在攻击者地址中，尚未发生转移。不过，近期已有规模较小的攻击者开始利用漏洞窃取资金，并通过剥离链、跨链服务等方式进行转移。可以确定的是，2021 年 3 月固件升级后由 Coldcard 生成的单签钱包地址均存在潜在风险，用户应尽快迁移资金。此前消息，Galaxy Research 已披露 Coldcard 漏洞攻击累计涉及约 1367.05 BTC（约 8860 万美元），涉及约 4585 个地址。
Galaxy Research 在 X 上发文表示，针对 Coldcard 生成弱随机数钱包地址的攻击仍在持续进行，团队呼吁用户立即将受影响的 Coldcard 单签钱包资金迁移至安全地址。其表示，目前已向联邦调查人员、行业合规机构及跨行业网络安全调查人员提交约 600 个疑似攻击者地址，这些地址被认为持有从弱随机性 Coldcard 钱包中盗取的资金。团队还表示，受害者主动分享钱包地址及交易哈希，帮助研究人员建立链上攻击模式，并进一步识别更多受影响钱包及攻击地址。目前，比特币及加密行业多方力量正在协助用户资产保护和攻击溯源工作。Galaxy Research 此前在 X 上发文表示，疑似针对 Coldcard 生成地址的攻击出现第三波，目前已有 207.7294 枚 BTC 被转出。根据链上追踪数据，Coldcard 钱包攻击事件目前累计涉及约 1,367.05 枚 BTC，价值约 8,860 万美元，涉及 4,585 个地址。
据链上分析机构 Galaxy Research（@glxyresearch）监测，ColdCard 钱包黑客攻击事件已发展至第三波，新增 207.73 BTC 被盗，目前三波攻击累计盗取 1,367.05 BTC（约 8860 万美元），涉及 4,585 个地址。链上数据显示，三波攻击呈现高度相似的特征：相同的资金归集拓扑结构、相同的 P2WPKH 目标地址及混合派生路径，每波间隔约 27 小时，疑似同一攻击者所为，但目前尚无直接证据证实。 目前，黑客控制的所有终端地址共持有 1,366.39 BTC（约 8860 万美元），链上全部处于未花费状态。Galaxy Research 指出，上述数据仅基于比特币区块数据及 UTXO 集分析，尚未对受害地址是否因低熵生成而存在漏洞进行计算验证。
Galaxy Research 周五表示，近 1200 个地址中的超过 1000 枚 BTC 被转走，价值约 7000 万美元，相关交易被认为与影响 Coldcard 硬件钱包的漏洞有关。此前，Coldcard 制造商 Coinkite 周四发布警告称，Coldcard Mk3 设备生成的助记词存在持续性问题。出于谨慎，公司提醒所有使用 Mk3 且固件版本为 2021 年 3 月发布的 4.0.1 或后续版本生成助记词的用户，其资金可能面临风险。随后，Coinkite 扩大风险提示范围，将部分 Mk4、Mk5 和 Coldcard Q 固件版本也纳入其中，并为所有受影响型号发布紧急固件更新。Coinkite CEO Rodolfo Novak（又名 NVK）周五道歉，并表示公司对该固件漏洞“承担全部责任”，承认内部审查流程未能发现问题。Novak 还表示，该漏洞可能是借助人工智能发现的，称这一事件反映了“新 AI 范式下的清醒现实”。他警告，AI 辅助代码审查可能比经验丰富的安全专家更快发现潜在漏洞，也让攻击者更容易利用公开代码中的弱点。
据 Bitcoin.com 报道，美国参议员 Cynthia Lummis 力推 CLARITY 法案在国会休会前完成参议院投票。该法案第 303 条赋予财政部对外国司法管辖区实施数字资产专项制裁的权力，第 305 条允许交易所对可疑交易实施最长 180 天的冻结。 链上数据显示，北韩 Lazarus Group 2026 年上半年共盗取约 6.43 亿美元，占全球同期加密被盗总额（9.72 亿美元）的三分之二，其中包括 4 月对 Drift Protocol 的 2.85 亿美元攻击及对 KelpDAO 跨链桥的 2.92 亿美元攻击。该组织自 2019 年以来累计盗窃额已达 67.5 亿美元。 目前，Galaxy Research 将 CLARITY 法案 2026 年内通过的概率下调至 30%，该法案尚需获得 60 票方可推进，意味着至少需要 7 名民主党议员跨党投票支持。
据 Decrypt 报道，Galaxy Digital 正式启动"比特币量子准备计划"，三大核心支柱包括：向开发者提供最高 500 万美元的后量子密码学研究资助、通过 Galaxy Research 发布专项研究报告，以及成立由多所顶尖高校学者组成的量子咨询委员会。 该计划剑指"Q-Day"——即量子计算机利用 Shor 算法破解比特币椭圆曲线加密、伪造签名并盗取钱包资产的临界时刻。Project Eleven 预测，具备密码学威胁能力的量子计算机最早可能于 2030 年出现，届时约 690 万枚 BTC 面临暴露风险。Coinbase 量子咨询委员会亦已呼吁开发者立即启动迁移工作。与此同时，特朗普已签署行政令，将美国联邦政府完成后量子密码学迁移的截止日期定为 2031 年 12 月。