Ai总结： Galaxy Research确认，Coldcard硬件钱包因固件缺陷导致约1596 BTC（超1亿美元）被盗，90%资金未转移。多起独立攻击暴露系统性设计风险，AI审计发现4962项漏洞，仅3%追回。本文解析事件本质与深层警示。

硬件钱包漏洞引发百万级比特币损失，90%资产仍滞留

据Galaxy Research最新评估，因Coldcard设备中长期未被验证的固件构建错误，已造成至少1,596枚比特币（约合1亿美元）被盗，涉及三轮明确确认的攻击波及14起较小事件。若将疑似第四轮攻击纳入估算，总损失可能攀升至2,055枚比特币（约1.3亿美元），但目前尚未有足够受害者出面证实，故暂不计入官方统计。

多源数据差异揭示取证方法论分歧

TRM Labs独立分析显示损失约1,816枚比特币（约1.16亿美元），该数字与Galaxy结果存在偏差，源于采样时间点与分析路径不同，并非矛盾。这些事件均发生于2026年7月上旬，成为当年第二严重月份，累计损失达2.474亿美元，其中Coldcard独占近半份额。

三种技术缺陷共享同一深层问题：过时假设未被复验

尽管攻击类型各异，但根源一致：皆源于一个多年未重新测试的设计前提。Coldcard漏洞源自2021年3月引入的配置标志，本意强制使用硬件随机数生成器，却因底层库未执行而失效，种子生成退化为基于芯片序列号和定时器寄存器的软件随机算法，二者均非秘密，且五年间无人察觉。Coinkite虽已修复新设备漏洞，但无法追溯保护旧密钥生成流程中的风险。

BTCPay Server运营商遭遇的闪电网络节点清空，则源于凭证管理缺陷：攻击者通过公开暴露的远程访问接口获取LND守护进程的macaroon令牌文件，从而获得完全控制权。而Bybit事件则体现人为审核失效——攻击者伪造签名界面，使用户误判目标地址，实际执行交易却指向另一账户，合约代码虽经审计，但人工环节出现疏漏。

追踪现实：追回率不足3%，90%被盗币未动

关键数据揭示真相：在Coldcard事件中，90%被盗比特币自流出后从未转移，极大提升未来追回可能性；但在Bybit案中，尽管法院已下达初步禁令并冻结部分资产，截至2026年6月，仅追回4,840万美元，冻结3,050万美元，合计占比约3%，仍有90.2%资金无法追踪。

由开发者Calle主导的众包AI安全审计项目，在390个比特币生态项目中发现4,962项问题，其中720项被评定为严重或高危，严重率高达14.5%。这一比例与Galaxy对第四轮攻击的保守估算方法论形成呼应——两者均领先于可确认范围，提示潜在风险远超表面数字。

“系统性”解读面临质疑：孤立事件还是共性模式？

并非所有涉事方认同“系统性”判断。Coinsbuy在其声明中强调：“当前调查表明，此次事件为孤立漏洞，非其基础设施深层结构性问题。”从技术层面看，其多链钱包入侵与Coldcard熵值缺陷、BTCPay凭证暴露无直接关联。本文所称“系统性压力”，实指基础设施层普遍存在“陈旧假设未重检”的共性风险，而非每起事件同源。

澄清误传：两位人物不应混淆为同一主体

原文曾误将一句引述归于“AI安全活动创始人”，实为Rob Hamilton——Bitcoin Red Team组织负责人，在失去对OpenAI Trust & Cyber工具访问权限后所言。该言论并不属于领导者Calle，后者负责的是覆盖390个项目、产生4,962项发现的审计工作。目前无任何证据表明二者为同一团队或项目，不应合并为单一叙事主线。

关键时间节点梳理：从漏洞埋下到全球响应

2021年3月：Coldcard引入未标记的固件构建错误；
2026年7月30日：首轮确认的盗币潮启动；
2026年8月3日至7日：第二至第四轮攻击爆发，损失估算从7,000万升至1.3亿美元；
2026年8月4日：Ledger首席技术官Charles Guillemet公开警示硬件随机性依赖；
2026年8月7日：Bybit获联邦法院初步禁令，冻结朝鲜侦察总局及Lazarus集团资产；
2026年8月9日：BTCPay Server限制远程访问并发布补丁；
2026年8月10日：Coinsbuy披露790万美元资金流失。

如何验证或推翻现有分析框架

Galaxy Research关于第四轮攻击的完整方法论，需待更多受害者确认以填补疑似与确认之间的差距；
其他硬件钱包厂商应明确回应：此为特定产品缺陷，还是整个行业设计范式的普遍风险；
完整月度黑客攻击数据集应公布，以便与历史趋势对比，判断7月2.474亿美元是否构成持续性危机信号。

常见问题解答：核心疑问逐条回应

固件更新后，我的Coldcard是否仍存风险？仅当密钥在修复前生成。新版本已阻断漏洞，但旧密钥无法追溯保护，建议参照Coinkite官方指南操作。

实际追回金额是多少？极为有限。Bybit案件中追回约4,840万美元，冻结3,050万美元，占总额3%；Coinsbuy仅在洗钱前冻结六位数金额。

文中“系统性”说法是否获得多方支持？否。这是本文基于多事件共性特征的独立分析，非共识结论。Coinsbuy已否认其事件具有系统性，且单月数据尚不足以支撑长期趋势判断。

谁主导了比特币的AI驱动审计？由化名开发者Calle领导，覆盖390个项目，发现4,962项问题。另一人物Rob Hamilton所属的Bitcoin Red Team，与本次审计无官方关联。