Coldcard官方账号遭黑客劫持 发布虚假固件警告诱导钓鱼

比特币硬件钱包品牌Coldcard近日遭遇一起严重的社交媒体劫持事件，其官方X账号被黑客操控并发布虚假安全警报，诱导持有Mk4、Mk5及Q型号设备的用户访问伪造的钓鱼页面。

此次攻击发生在10月11日，攻击者声称多款设备存在高危固件缺陷，并要求用户立即转移资产以避免风险。该信息迅速传播，引发用户对钱包安全性的广泛担忧。

利用历史漏洞制造信任骗局

值得注意的是，此次虚假公告的内容与Coldcard在2026年7月披露的一次重大安全事件高度相似。当时，由于固件中随机数生成机制存在缺陷，导致部分钱包的私钥可被逆向推导，攻击者通过离线暴力破解手段成功恢复了大量账户凭据。

据估算，那次事件造成的经济损失约为1亿至1.3亿美元，涉及比特币数量达1600至1800枚。为应对危机，Coinkite（Coldcard制造商）推出了多项固件更新，包括Mk3的4.2.0版本、Mk4/Mk5的5.6.0版本以及Q型号的1.5.0Q版本。

然而，这些更新并不能自动修复由旧漏洞生成的受影响钱包。用户仍需手动创建新助记词，并将资产迁移至全新钱包中，才能确保长期安全。

Coldcard否认系统被侵，已启动平台调查

针对本次事件，Coldcard明确表示，其内部系统未检测到异常登录或账户会话记录，安全日志中无任何可疑活动。公司强调，其离线双重身份验证机制自2017年起持续有效，相关凭据依然处于受保护状态。

目前，该公司已向X平台提交正式申诉，请求调查账号被劫持的技术路径。有报道称地下市场存在出售平台内部访问权限的工具，但尚未有确凿证据表明此类工具与本次事件直接关联。

截至目前，尚未确认是否有用户在钓鱼页面输入助记词或遭受实际资金损失。官方呼吁所有用户保持警惕，切勿点击非官方渠道链接。

事件影响与后续展望

此次事件凸显了加密资产持有者在面对权威机构警示时的心理脆弱性——攻击者巧妙利用过往安全事件建立信任，从而提升钓鱼成功率。

随着数字身份管理日益复杂，此类社交工程攻击正成为威胁用户资产的重要形式。未来，强化第三方认证流程、提升平台账号防护能力，将成为行业共同关注的重点议题。