Coldcard官方账号遭钓鱼攻击：未发现账户泄露，但风险等级上升

比特币硬件钱包制造商Coldcard就其官方社交媒体账号于10月11日发布的一则钓鱼信息展开调查。该内容声称存在固件种子生成漏洞，引导用户访问伪造网站以完成钱包迁移，实则旨在获取敏感钱包信息。

虚假帖子诱导用户泄露关键信息

该欺诈性消息发布于UTC时间02:00，伪装成技术通告，要求用户提供12或24词恢复助记词及可选口令。此类信息一旦外泄，可能被用于重建私钥并完全控制钱包资产。Coldcard强调，合法的固件更新不会要求用户在网页上输入助记词。

公司已删除该内容，并重申唯一官方网站为https://coldcard.com，提醒用户切勿依据已删除的社交动态进行资金转移或操作。目前尚未有经核实的用户损失报告。

历史漏洞叠加当前风险，安全警报升级

此次事件发生于2021年固件种子生成缺陷暴露数月后。该漏洞影响部分旧版设备，削弱了私钥生成过程中的随机性，使攻击者可通过计算逆推密钥。截至8月25日，已有8,865个地址受影响，涉及约1,789.28 BTC，价值超1.147亿美元。

据Galaxy Digital追踪，此次漏洞共引发至少三波攻击，疑似存在第四波，总损失可能逼近1.3亿美元。该事件也推高了2026年7月加密货币盗窃总额——达2.474亿美元，远高于4月的6.44亿美元。

X平台介入调查账号异常发布

Coldcard表示自2017年起采用离线双因素认证机制，严格限制账号权限。尽管如此，内部审查未发现任何未经授权登录或会话异常，无法解释该帖子为何被发布。

公司已向X平台提出正式请求，调查是否存在凭证泄露、授权应用滥用或活跃会话劫持等潜在原因。根本原因仍在排查中，尚无定论。

目前所有迹象表明，本次事件属于典型的社交工程攻击，而非针对设备本身的远程漏洞利用。Coldcard再次强调：切勿通过非官方渠道分享助记词、口令或私钥等核心资产信息。