Coldcard冷钱包漏洞持续，第四波扫荡转移约1816枚比特币

第四波针对Coldcard冷钱包生成的比特币地址的扫荡活动于周一早些时候开始，持续数小时。研究人员估计，自7月30日以来，攻击者已从超过5200个地址转移了约1816枚比特币，价值近1.14亿美元。

与之前几波不同，本次扫荡中的交易使用了比特币的"replace-by-fee"功能。这意味着，如果受害者在内存池中发现自己地址的待确认交易，可以支付更高费用抢先转移资金。

Galaxy Research的全公司研究主管Alex Thorn标记了这波活跃扫荡，并指出攻击者选择了replace-by-fee功能。在交易确认前，发现其地址在内存池中的受害者可以支付更高费用将币先转走。

攻击始于7月30日，第一波扫荡在41分钟内从1196个地址取走了1083枚比特币。随后两波在周末使观察到的转移量达到1367枚比特币，涉及4585个地址。

漏洞根源可追溯到2021年3月的一个固件版本，该版本将种子生成路由到可预测的软件随机数生成器，而非芯片的硬件随机数生成器，导致密钥可被离线重现。Coldcard制造商Coinkite为受影响型号发布了紧急固件，并建议用户在受影响的软件上生成种子的用户将资金转移到新种子生成的地址。

Thorn表示他没有直接收到受害者报告，仅基于模式匹配发布发现，选择在交易未确认时快速提醒用户。

如果上述数据准确，四波扫荡总计约1816枚比特币，价值近1.14亿美元，涉及5200多个地址。

Thorn建议用户检查资金，将资产从受影响设备上转移，并提高费用。

模式分析显示，在区块960,778至960,792之间，共有218笔交易命中462个受害者地址，每块扫荡次数约为14次，是正常情况的45倍。这种模式表明漏洞影响的是单密钥Coldcard种子，而非多签名设置。攻击者将资金发送到之前未使用的地址，比前几波更难追踪。

前三波扫荡均未涉及多签名设置，这与漏洞影响单密钥种子的判断一致。六个有多年历史的目的地址也被排除，因为新生成的攻击者地址不可能有历史记录。

信息来源：CoinDesk