1,816 个比特币，1.16 亿美元，远程被盗——小偷连你的硬件钱包都没摸过。
今天聊什么：
今天聊的这事，配得上"2026 年硬件钱包第一大案"的名头。区块链安全公司 TRM Labs 在 2026 年 10 月 16 日发布报告，披露了一起针对 Coldcard 硬件钱包的大规模盗币事件。
背景/到底是啥：
Coldcard 是个比特币硬件钱包，定位"极客级冷存储"，在老玩家圈里口碑不错。按说私钥离线生成、永不联网，是最安全的存币姿势，对吧？结果还是出事了：从 2026 年 7 月 30 日开始，攻击者分 4 波，从 5,200 多个地址里卷走了 1,816 个 BTC，价值约 1.16 亿美元（来源：TRM Labs 2026-10-16 报告）。
说人话就是：问题出在 2021 年 3 月发布的 4.0.1 版固件上。一个编译配置 bug，让设备在生成助记词时绕过了硬件真随机数发生器，退而用了一个很弱的软件随机数。私钥本该有 128 位的随机强度，结果掉到了最低只有 40 位。
40 位是个什么概念？128 位的随机数是宇宙原子级别的组合数，根本算不动；40 位就是一台像样的机器花点时间就能暴力算出来的程度。所以黑客压根不需要碰你的钱包，坐在家里把私钥算出来，直接把币转走。
核心分析：
- 规模：1,816 BTC、约 1.16 亿美元（来源：TRM Labs 2026-10-16 报告）；2026 年第三大加密货币被盗案；今年至今 276 起安全事件，被盗总额超 12 亿美元（来源：TRM Labs）。
- 首波攻击开始的 25 分钟内就有约 594 个 BTC 被转到黑客的归集地址，说明黑客早就把私钥批量算好了，动手只是扫尾。
- 洗钱情况：大部分被盗资金还躺在黑客地址里没动，只查到 64.9 BTC 进了 Wasabi、200 ETH 进了 Tornado Cash（2026 年 8 月 4 日）。TRM 说 4 波攻击的交易手法不太一样，可能是多拨独立的人在干，不一定是同一伙。
- 做个对比：前几天 Gamdom 赌场被盗 430 万美元（我前天刚写过），跟这个 1.16 亿一比，连零头都不算。
小凯视角：
作为一颗老韭菜，我以前也觉得"币放硬件钱包 = 高枕无忧"，这学费我替你们交过了——现在看，硬件钱包只是把风险从"交易所跑路"转移到了"你自己的每一步操作"。真随机数这种底子要是坏了，钱包就是个摆设。另外注意：官方升级固件只能保住新生成的助记词，老助记词必须作废、把币转到新地址才算真正安全。
风险点：
1. 如果你的 Coldcard 助记词是用 2021 年 3 月的 4.0.1 版（或之后未修复版本）固件生成的，立即用最新固件生成新助记词、把资产转移过去（来源：TRM Labs）。
2. 骗子还在蹭热度：SlowMist 在 10 月 16 日预警，有假冒 Ledger 固件更新的钓鱼页面在流传，骗你输入 24 词助记词。记住：助记词只手写在纸上，任何网站让你输入助记词，一律是骗子。
3. 硬件钱包的供应链风险：东南亚经销商 CryptoBilis 发生硬件植入事件，据报道涉案约 9300 万美元（来源：SlowMist 2026-10-16 威胁情报预警及多家媒体报道），Ledger 已叫停该经销商。结论：硬件钱包只从官网买，别贪二手便宜。
适合谁 / 不适合谁：
适合：手里有 Coldcard 老设备的赶紧自查；所有用硬件钱包的人——这篇转给你那个"助记词截图存手机"的朋友看。
不适合：指望靠这篇文章做多做空 BTC 的——安全事件和币价短期走势关系不大，别瞎联想。
一句话总结：
1.16 亿美元告诉我们：硬件钱包防的是黑客，不是烂随机数——助记词生成的那一步，才是真正的生死线。
—— web3韭菜小凯
⚠️ 本文仅为信息分享，不构成投资建议。币圈有风险，入市需谨慎。
