一個潛伏多年的韌體缺陷，令 Coldcard 硬件錢包被黑客鑽空子，盜走約 7,000 萬美元 比特幣 (BTC)，事件觸發 趙長鵬（CZ） 出面提醒：所謂「冷錢包」，同樣並非絕對安全。
重點摘要：
- 7 月 30 日短短 41 分鐘內，研究人員追蹤到 1,196 個錢包合共流出 1,082.65 枚 BTC。
- CZ 建議持幣者將資產分散在多個錢包。
- 生產商已發佈修正版韌體，但凡在受影響版本上生成的種子，必須全部更換。
Coldcard 比特幣遭「掃倉」
Galaxy Research 與 Block 的研究團隊追蹤發現，盜領行動於 7 月 30 日世界協調時間（UTC）1:10 至 1:51 之間展開，在 41 分鐘內清空 1,196 個錢包，合共 1,082.65 枚 BTC，遠高於早前估算。
Galaxy 指出，相關異常活動橫跨 6 個區塊，其中 3 個區塊沒有任何關聯轉賬紀錄，顯示黑客是分批廣播交易，而無需實際接觸裝置本身。到 8 月 1 日，被盜比特幣仍集中停泊在 4 個地址之上。
事故源於 2021 年 3 月的一次軟件改動：原本應依賴專用硬件隨機數產生器（RNG）去生成錢包種子，卻被錯誤導向一個「可預測」的後備機制。Coinkite 估計，受影響的 Mk3 機種實際只有約 40 bit 安全強度，較後期型號約為 72 bit，遠低於行業對「冷錢包」的期望。
延伸閱讀： SpaceX 或面臨供應衝擊 9.115 億股即將解禁
CZ：硬件錢包同樣有程式風險
加密貨幣交易所 Binance 創辦人兼前行政總裁趙長鵬在 X 上發文指出，Coldcard 事件說明，就算營運歷史悠久，軟件層面的風險仍然存在，「就連硬件錢包都可以有 bug。」他建議用戶將資金拆散，放到多個錢包分散風險，但同時承認這做法亦會衍生其他操作風險。
多錢包策略並非「免死金牌」。錢包數量愈多，備份與恢復流程愈複雜，雖然可以降低單一錢包被攻破時的集中損失，卻會提高人為操作失誤、備份遺失等風險。
Coinkite 已為 Mk3、Mk4、Mk5 及 Q 等裝置推出修正版韌體，但單靠更新軟件，無法「補救」已經脆弱的舊種子。公司表示，若用戶當初以實體擲骰最少擲 50 次，再手動輸入生成種子，這次漏洞本身不足以破解這類錢包。其他受影響用戶則被建議：盡快建立全新種子、先以小額測試轉賬確認可正常收發，再把剩餘資金全部轉走。
Block 方面亦將較舊的 Mk2 型號列為「可能受影響」，但 Coinkite 的官方通告並未點名該產品。由於錢包持有人無法直接檢測某個種子是否安全，研究人員警告，只要脆弱錢包仍存有資金，未來仍可能出現新一輪「掃倉」。
是次缺陷於 2021 年 3 月被引入 Coldcard 的種子生成流程，直至 2026 年 7 月下旬緊急發布修正版前，一直存在於受影響版本，足足橫跨五年。這段長時間潛伏，正是導致事件格外嚴重的原因之一——不少長期「塵封」的舊錢包，其實並不安全，只是一直「未被發現」。