比特币的安全危机远不止Coldcard一事 ——一支志愿者红队刚刚证实了这一点

Coldcard硬件钱包遭入侵一事本身就已经足够令人震惊。 但由此引发的社区反应揭示了一个更令人不安的事实：Coldcard可能并非比特币生态系统中最脆弱的部分。甚至可能相去甚远。

要点

• 志愿者开发者在约30小时内，针对390个比特币项目提交了4,962项安全发现——仅有一个代码库未被发现存在漏洞
• 其中720项发现被评定为高危或关键级 ——占总报告量的14.5%
• 矿池、基础设施工具和交易平台记录的严重漏洞比例高于硬件钱包
• 仅有147项发现已传达给负责修复的维护者
• 此次行动由Coldcard安全事件引发， 该事件中，一个存在缺陷的随机数生成器使攻击者得以从超过7,300个地址中盗取比特币
• Galaxy Research目前将Coldcard的已确认损失定为1,596 BTC——预计总损失额接近1.3亿美元

红队是如何组建的

这次排查始于一枚故障芯片。 7月30日，Coinkite披露称，受影响的Coldcard设备上的种子生成已退化为可预测的软件例程，而非基于真正的随机性。这一缺陷十分严重——仅有32位数据来自安全元件，导致保护钱包密钥的熵值上限仅为约43亿种可能值。 对于进行系统性暴力破解计算的攻击者而言，这是一个可控的搜索空间。

这一披露引发了社区的强烈反响。 一个自称“比特币红队”的组织开始对比特币更广泛的软件生态系统（包括库、工具、交易所、挖矿基础设施等）进行协调一致的安全排查，以确定导致 Coldcard 失效的随机性缺陷是孤立事件，还是更广泛问题的征兆。 大约 30 小时后，答案逐渐明朗。

数据究竟揭示了什么

这一核心数据——390个项目中发现了4,962个问题——需要结合具体背景才能准确解读。

在30小时的窗口期内，仅1小时就通过单次补全数据导出处理了约4,101个发现项。 比特币保险公司 AnchorWatch 的首席执行官 Rob Hamilton 在活动正式开始前进行了自己的独立审查，花费了超过 10,000 美元扫描了 100 多个比特币生态系统库。他的审查结果在活动开始时被批量上传。 若剔除这部分补录数据，剩余29小时内的检测速度将降至每小时约29个问题——而非整体报告中宣称的166.3个。

在审查的 391 个代码库中，只有一个被判定为“无问题”。 评审人员将 85 项发现评定为“严重”，635 项为“高”，1,386 项为“中”，1,723 项为“低”。 另有 246 个未标注严重性等级。只有 8 个被判定为误报而撤销。大约 21.4% 附带了可运行的概念验证代码。大约 91% 通过自动扫描发现，而非人工审查。

按类别细分的数据揭示了不同的情况

各项目类别中的严重性分布揭示了一个发现，这应该促使业界重新审视对比特币安全风险的看法。 硬件钱包和固件——Coldcard 所属的类别——在严重缺陷方面以 9.6% 的比例排名倒数第二。

表现较差的类别则揭示了一个更令人担忧的情况。 矿池中“高危”或“严重”缺陷的发现率高达21.7%。基础设施和工具类为21.5%。代币互换和交易所类达到20.9%。隐私工具类以24%位居榜首，不过评审人员仅评估了该类别中的三个项目——样本量过小，无法得出确切结论。

加密库产生的漏洞数量远超其他类别。 在128个项目中，它们共产生了1,385项发现——占整个数据集的四分之一以上。其中许多库支撑着多个其他项目，这意味着该层面的漏洞可能会对所有基于它们构建的项目产生连锁影响。

Calle——这位创建了 Cashu 电子现金协议的化名物理学家——证实了所披露的关键发现的质量。 “我们迄今发布的大部分关键报告都迅速得到了项目所有者的验证。我们知道自己确实击中了真实目标，”他写道。

Coldcard造成的损失持续扩大

在“红队”扫描进行期间，关于 Coldcard 数据泄露事件的最新损失估算值持续攀升。

截至8月4日，Galaxy Research统计显示，在三波已确认的攻击浪潮和14起较小规模事件中，约7,300个地址共遭窃1,596枚比特币。 如果第四波攻击得到证实，总损失将达到约1.3亿美元——约2,000 BTC。 Galaxy强调其地址列表并非最终版本，目前仍在持续更新中。

链上数据清晰地反映出了这种恐慌情绪。 消息披露后，活跃比特币地址数量飙升至20个月以来的最高点。韩国持币者大多逃过了此次冲击，因为基于骰子的种子生成——这种方法不依赖设备生成的随机数——在该市场是常见做法。

Coldcard 的漏洞并非没有先例。 2023年的“Milk Sad”漏洞就曾利用仅32位的时钟时间生成Libbitcoin Explorer的密钥。 2026年5月，“Ill Bloom”漏洞从基于弱JavaScript随机数生成器的钱包中盗取了570万美元。随机性不足一再成为比特币安全基础设施中的故障模式——这并非因为密码学原理存在缺陷，而是因为在这个庞大且主要由志愿者维护的生态系统中，实现质量参差不齐。

市场与资金的反应

周四，比特币交易价格徘徊在64,396美元附近，较前24小时上涨约0.5%。 尽管Coldcard的损失规模巨大，且“红队”的调查结果令人震惊，但此次审计并未引发可衡量的市场反应——这表明机构和散户市场参与者要么已将系统性风险的影响计入其中，要么尚未完全消化此次全面审查所揭示的全部情况。

专注于资助比特币开发的非营利组织OpenSats，为直接响应此次行动，推出了“Code RED”资助项目。 该计划向负责任地披露漏洞的安全研究人员支付报酬，并报销自动化扫描产生的人工智能计算成本——这实际上承认了，所部署的扫描基础设施确实存在实际的财务成本，不应由志愿者研究人员独自承担。

在 4,962 项发现中，仅有 147 项被提交给了负责修复的维护者。 已提交的漏洞与已向开发者披露的漏洞之间的差距，是红队目前面临的最重大运营挑战之一。一个已被记录但未传达给负责修复团队的漏洞，无法为用户提供任何保护。

数据对未来趋势的启示

红队的数据表明，硬件钱包并非下一场重大比特币安全事件最可能发生的地点。 矿池的重大发现率为21.7%，基础设施工具为21.5%，而加密库产生的发现数量占总发现量的四分之一以上——这些类别不仅严重性等级较高，而且（就库而言）还存在系统性风险，影响所有基于它们构建的系统。

这并不意味着 Coldcard 式的事件不会重演。 比特币生态系统不同部分中随机性实现薄弱的反复出现模式表明，存在一类尚未得到系统性解决的漏洞——而不仅仅是孤立的产品缺陷。

原始数据需要结合上下文来理解。这些是发现，而非已确认的漏洞利用，其中大部分永远不会被武器化。 自动化扫描产生了海量数据，随后通过人工审查进行筛选。但数据中传递的趋势信号很明确：Coldcard 并非孤立的失败案例，整个生态系统在多个类别中都存在大量未解决的安全债务，而影响最严重的漏洞可能并不在行业此前关注的地方。

来源

《比特币安全审查行动情况报告第1号》，2026年8月5日编制。 AnchorWatch首席执行官罗布·汉密尔顿（Rob Hamilton）于2026年8月3日在X平台发布的帖子。Galaxy Research于2026年8月4日在X平台发布的帖子及资金流向分析。Cashu电子现金协议创建者卡莱（Calle）关于关键发现验证的公开声明，2026年。 OpenSats Code RED 资助项目公告，2026年8月。Coinkite Coldcard 漏洞披露，2026年7月30日。比特币价格数据来自 CoinGecko，2026年8月7日。Milk Sad 漏洞参考，2023年。 Ill Bloom漏洞参考，2026年5月。