同时关联该项目与事件的快讯
Cardano 生态钱包项目 SecondFi 宣布启动钱包迁移工具，并公布受 2026 年 6 月安全事件影响资产的恢复计划。由于项目将停止运营，用户需迁移仍存放在 SecondFi 钱包中的剩余资产。迁移工具预计于 8 月 13 日上线，支持将符合条件的 ADA、Cardano 原生代币及 NFT 转移至用户自主选择服务商创建的新 Cardano 钱包。目前该工具仅支持 Cardano 网络资产，非 Cardano 资产需通过对应网络和钱包流程单独转移。SecondFi 表示，迁移工具已通过安全公司 Bitdefender 的独立安全评估。针对受影响资产，SecondFi 计划于 9 月 10 日前上线恢复门户，用户可通过零知识证明（ZK Proof）验证钱包所有权并提交资产申领。SecondFi 提醒用户仅使用官方渠道发布的信息，包括@secondfiapp、@secondfi_jp 及官方支持网站，以防范钓鱼网站和冒充账号。
Sui 区块链开发公司 Mysten Labs 联合创始人兼首席密码学家 Kostas Chalkias 表示，他已租赁一处秘密地点的专用工厂，计划规模化生产面向 Sui 的量子安全硬件钱包卡。项目目标是将单张量子卡密钥成本控制在 10 美元以内，NFC 量子签名耗时 1 至 2 秒。 Chalkias 表示，该项目由其利用工作之外的个人时间推进，并可能为无力购买的用户资助卡片。该计划部分缘于近期 Coldcard 硬件钱包事件，但该漏洞并非量子攻击。 Coldcard 制造商 Coinkite 披露，Coldcard 一项可追溯至 2021 年更新的固件漏洞绕过硬件随机数芯片，使用与设备序列号等相关的可预测软件流程生成密钥。攻击者自 7 月 30 日起转移资金，损失升至约 2055 枚 BTC，涉及 7700 多个地址，价值接近 1.3 亿美元。 在协议层面，Sui 计划加入美国国家标准与技术研究院（NIST）批准的两种抗量子签名方案，分别面向日常账户和高价值 Move 金库。现有账户可基于原恢复短语轮换至量子安全密钥，无需迁移至新钱包。（Bitcoin.com News）
一个长期沉睡的比特币钱包周四转出近 50 枚 BTC，价值约 320 万美元。该钱包曾在 2011 年接收 49.97 枚 BTC，当时比特币交易价格约为 10 美元。 这些 BTC 被发送至一个 SegWit 地址，该地址此前曾向机构经纪商 FalconX 转入比特币，并接收过与 Nexo 和 Prime Trust 相关钱包的资金。新转入的 BTC 尚未离开该地址。 此次转账发生在 Coldcard 硬件钱包遭遇重大漏洞攻击后，长期持有者重新检查旧存储设置的背景下。目前没有证据显示该 2011 年钱包与该漏洞有关。
据 Cointelegraph 报道，比特币闪电网络自托管钱包 Zeus Wallet 于周三遭遇网络安全攻击后，主动将基础设施下线，目前正对系统进行全面审计，待完成后恢复服务。 Zeus 创始人 Evan Kaloudis 表示，此次攻击已在数小时内得到控制，未发现客户资金损失，亦无证据显示闪电节点软件受到影响，事件范围仅限于 Zeus 自身基础设施。对于在此次事件中被迫关闭 LSP 通道的用户，Zeus 承诺将在服务恢复后提供替换通道。 公司目前未披露攻击具体性质及恢复运营时间表。Zeus 表示，此次事件将进一步推动其在可信执行环境（TEE）及 Validating Lightning Signer（VLS）项目上的安全建设。
Coldcard 钱包黑客事件涉及约 1.2 亿美元。相关交易一度让比特币内存池活跃。
CertiK 表示，其监测系统发现两笔各 200 ETH 的交易转入 Tornado Cash，相关资金与正在进行的 Coldcard Wallet 攻击事件有关。上述资金此前通过 THORChain 由 BTC 跨链转入以太坊地址，随后再被转入 Tornado Cash。
据 CoinDesk 报道，自 7月 30日 Coldcard 硬件钱包漏洞事件爆发以来，与黑客关联的钱包地址（bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r）已收到多笔附带文字信息的比特币转账，该钱包目前持有约 3600 万美元的被盗资产，此次事件确认损失已超 1 亿美元。 上述信息通过比特币的 OP_RETURN 功能写入链上，永久留存于区块链。内容涵盖受害者求偿（如"你偷了，请还一些回来"、"还我 5枚 BTC 的80%"）、洗钱服务招揽（"我洗 BTC，抽 10%佣金"，附 Telegram 联系方式），乃至与事件毫无关联的募款请求，性质各异。
与 Coldcard 黑客相关的钱包自 7 月 30 日以来收到多笔存款，其中部分存款通过比特币 OP_RETURN 功能附带文字信息。 相关信息包括要求返还资金的请求，以及机会主义推销内容，其中一条信息提出可帮助清洗被盗资金，并收取 10% 分成。
硬件钱包制造商 Ledger 表示，近期 Coldcard 漏洞显示硬件比特币钱包行业需重新评估安全模型。Ledger CTO Charles Guillemet 表示，Ledger 设备未受影响，其恢复短语由认证安全元件内置硬件随机数生成器生成。 Coldcard 制造商 Coinkite 上周披露，隔离式 Coldcard 比特币硬件钱包存在可追溯至 2021 年 3 月固件版本的漏洞。该漏洞使用软件回退机制生成钱包恢复种子，导致部分私钥可被猜测，相关损失已达约 1.3 亿美元。 Coinkite 已于周日发布修复固件，并敦促受影响用户将资金转移至新生成钱包。Charles Guillemet 表示，开源与经过审查不同，该缺陷在公开代码中存在超过五年，AI 正使攻击者能以机器速度扫描代码和识别漏洞。 Charles Guillemet 还表示，Ledger 过去两年已将 AI 与安全工程师、密码学专家结合，用于审查代码并识别漏洞。他认为，用户评估硬件钱包时应了解其随机性生成方式，以及该过程是否获得独立认证。
比特币硬件钱包制造商 Coinkite 于 2026 年 7 月下旬披露，2021 年 3 月引入的固件构建错误导致部分 Coldcard 钱包从较小范围生成助记词，降低了用户私钥随机性。 Galaxy Research 研究人员表示，Coldcard 漏洞利用分多轮发生，观测到的比特币损失在数日内从约 8800 万美元增至近 1.14 亿美元。研究人员警告称，其他易受影响地址仍可能成为目标后，许多 Coldcard 用户转移了其比特币。 Coldcard 是一款仅支持比特币的钱包，支持通过 microSD 卡和可选二维码进行离线签名。该钱包于 2017 年推出，长期被视为侧重安全的比特币硬件钱包之一。
比特币钱包服务商 Nunchuk 发布重要更新，针对近期 Coldcard 相关安全事件，建议部分包含 Coldcard 生成密钥的多签钱包用户尽快迁移资金。Nunchuk 根据多签钱包中受影响的 Coldcard 密钥数量，划分了不同应对层级：若 Coldcard 生成密钥数量已达到签名阈值，攻击者理论上可直接转移资金，此类用户应立即迁移；若钱包中仅包含 1 个 Coldcard 生成密钥且低于签名阈值，单个受影响密钥无法单独移动资金，风险相对较低，但仍建议尽快完成迁移。如用户无法确认钱包中 Coldcard 密钥的具体数量，应按高风险情况处理。此外，Nunchuk 宣布即将上线的移动端更新将为付费用户自动启用 Slipstream 通道。届时，任何包含至少一个 Coldcard 密钥的辅助多签钱包交易，都将绕过公开内存池通过 Slipstream 提交，以降低交易被监控和替换的风险。对于希望立即操作或免费用户，Nunchuk 提供手动迁移方案：用户需创建迁移交易、完成多签签名但不要广播，随后将原始交易数据提交至 Slipstream 平台。
据 Cointelegraph 报道，Coldcard 硬件钱包制造商 Coinkite 披露，其设备存在一个自 2021年 3 月起延续至今长达五年的随机数生成器（RNG）漏洞。该漏洞源于固件升级时误将钱包种子生成路由至安全性较弱的 MicroPython 伪随机数生成器（PRNG），而非原本设计的真随机数生成器（TRNG）。由于代码审查仅验证 TRNG 代码存在，而未核实其是否被实际调用，导致漏洞长期未被发现。 目前已有逾 4,500 个地址受到攻击，近 9,000 万美元比特币遭盗取。Kraken 首席安全官 Nick Percoco 表示，此事件应成为硬件钱包行业的"警钟"，呼吁引入独立第三方测试机制，强制验证生产固件实际调用的熵源是否经过认证。Coinkite 已于确认漏洞后暂停所有设备发货并销毁受影响库存，同时表示将配合多国执法机构追查责任方。
主要加密货币周一走低，比特币一度跌至 62800 美元附近，Ether 跌至 1858 美元。此前地缘局势相关预期有所改善，但市场并未延续反弹。 Coldcard 硬件钱包漏洞扩大后，约 1367 枚比特币从约 4585 个地址流出，价值近 8900 万美元，分三轮攻击发生。市场弱势与原油价格下跌、美国国债收益率回落和股指期货上涨形成对比。
彭博高级 ETF 分析师 Eric Balchunas 针对 Coldcard 钱包安全事件发表评论，质疑一家仅约 5 人规模的公司是否适合承担如此重要的比特币存储职责，他表示 Coldcard 背后的公司员工数量“似乎低得令人难以置信”，如果一家银行只有 5 名员工、总部位于加拿大，人们是否会愿意将毕生积蓄存放其中？在加密行业这可能被视为一种特点，但在传统金融视角下，这会成为明显的风险信号。 Balchunas 进一步表示，相比之下，Coinbase和 Ledger 等拥有更大规模团队的机构，在安全投入和运营能力方面可能更具优势，即使用户需要承担更高交易成本。比特币 ETF 提供了另一种选择：投资者既可以获得大型、专业、受监管金融机构提供的安全保障，也能享受较低的管理费用。
针对 Coldcard 钱包持续遭攻击事件，币安联合创始人 CZ 在 X 平台转推表示，对于自托管钱包而言，开发者修复漏洞并不能解决此前已经生成的钱包风险，且开发者无法直接联系使用隔离设备（air-gapped device）的用户。CZ 表示，用户的钱包在采取行动前仍可能暴露于攻击风险之中。他强调，自己仍然支持自托管模式，但自托管意味着用户需要承担更多安全责任。
据链上分析机构 Galaxy Research（@glxyresearch）监测，ColdCard 钱包黑客攻击事件已发展至第三波，新增 207.73 BTC 被盗，目前三波攻击累计盗取 1,367.05 BTC（约 8860 万美元），涉及 4,585 个地址。链上数据显示，三波攻击呈现高度相似的特征：相同的资金归集拓扑结构、相同的 P2WPKH 目标地址及混合派生路径，每波间隔约 27 小时，疑似同一攻击者所为，但目前尚无直接证据证实。 目前，黑客控制的所有终端地址共持有 1,366.39 BTC（约 8860 万美元），链上全部处于未花费状态。Galaxy Research 指出，上述数据仅基于比特币区块数据及 UTXO 集分析，尚未对受害地址是否因低熵生成而存在漏洞进行计算验证。
币安创始人 CZ 在 X 平台转发用户遭 Coldcard 钱包攻击事件并表示，软件始终会存在漏洞，关键在于背后的团队如何处理问题。CZ 补充称，Trust Wallet 多年前也曾遭遇类似问题，当时由于使用了非真正随机的伪随机数生成器，导致约 1200 万美元损失，但团队最终承担了用户损失。此前消息，疑似针对 Coldcard 生成地址的攻击已出现第三波，攻击者再次转移约 207.7294 枚 BTC。数据显示，目前已观察到的 Coldcard 相关攻击规模扩大至约 1,367.05 枚 BTC，涉及约 4,585 个地址，按当前价格计算价值约 8,860 万美元。
据 Cointelegraph 报道，新加坡稳定币支付公司 Triple-A 确认其财政钱包遭未经授权访问，链上调查员 Specter 估计损失约 1180 万美元。公司表示，客户资金存放于独立信托账户，未受此次事件影响，相关损失将由公司自有财务储备承担。目前 Triple-A 已恢复全部服务，并正联合网络安全专家、区块链取证机构及新加坡警察部队展开调查，追踪被盗资产。
据官方消息，OKX 联合 Elliptic、SlowMist、OttoSec 发布《2026 年上半年 Web3 安全与风控报告》。报告指出，Web3 攻击重心正从智能合约代码逐步转向签名流程、用户设备、运维基础设施及 AI Agent 等更复杂场景。数据显示，2026 年上半年，OKX 风控系统累计拦截 570 万+笔高风险交易，其中黑客与盗窃相关交易约 241 万笔、钓鱼相关交易约 148 万笔、诈骗相关交易约 99 万笔。OKX Web3 链上情报标签库目前已拥有 11 亿+标签，覆盖 420+ 条链，并将地址筛查、交易监控与制裁地址管控等能力接入 DEX、Exchange OS 等基础设施。此外，在用户保护方面，OKX 已累计拦截 700 万+次风险网站访问，完成 20 万+次设备风险检测，识别 6 万+次高风险 App，并对 400 万+次高风险签名操作进行拦截或告警。报告还介绍了 Exchange OS、Outcomes、RWA 与 Agentic Wallet 等场景中的“风控前置”设计。
Cardano 生态钱包 SecondFi 表示，因钱包软件加密缺陷导致约 1610 万枚 ADA 被盗，价值约 260 万美元，平台将逐步关闭 SecondFi 和 Yoroi 钱包服务。此次事件影响 374 个钱包。 SecondFi 表示，区块链情报机构 Groom Lake 的独立调查认定攻击方为复杂外部行为者，并发现可能与朝鲜 Lazarus Group 相关的指标，但尚未确认归因。 SecondFi 正在开发基于零知识证明的恢复工具，以帮助受影响用户恢复资产并限制需共享的信息。该工具仍在测试中，并将在计划于 8 月发布前接受第三方审计。 SecondFi 还在准备钱包导出功能，允许用户将资产迁移至其他服务。平台未公布直接赔偿计划，也未说明是否将使用自有资金补偿用户。