Coldcard硬件钱包漏洞致近1.14亿美元潜在损失，攻击者利用AI挖掘固件缺陷

自托管比特币硬件钱包Coldcard曝出严重固件漏洞，导致约1367枚BTC（价值约8860万美元）被盗，第四波攻击将潜在损失推高至1.14亿美元。攻击者利用AI扫描开源固件发现弱点，而官方AI审查却未能识别。

漏洞细节：固件随机数生成器缺陷

Coldcard是比特币最受信任的硬件钱包之一，采用气隙隔离、离线设备，用于深度冷存储。然而上周，它成为史上最大自托管盗窃案的中心。攻击者利用固件漏洞，无需接触物理设备即可重新生成用户私钥。该漏洞源于2021年3月的一次固件更新，该更新从弱软件后备方案（而非硬件随机数生成器）生成钱包种子，将Mk3型号的关键安全性从128位降至约40位，使私钥可被猜测。加拿大一名受害者从保险箱中的密钥中损失了18.25 BTC，他写道最痛苦的是“自己做对了一切”。

攻击规模与最新进展

攻击从周四估计的3800万美元持续攀升。Galaxy Research追踪到约1367枚BTC被盗，涉及4585个地址，分三波进行，并标记了周六的最新一波。Galaxy警告漏洞仍在被利用，所有易受攻击设备最终都将被清空，并已将约600个疑似攻击者地址移交给联邦调查人员。第四波攻击可能使损失接近1.14亿美元，但研究人员表示部分最新攻击可通过在内存池中抢先交易结算来避免。

AI成为攻击利器

Coinkite（Coldcard制造商）表示，必须假设攻击者使用AI扫描其开源固件以发现漏洞，并承认其自身的AI审查“未发现此漏洞或任何严重问题”。Galaxy研究主管Alex Thorn称这些扫荡看起来是程序化的，并且“很可能由大型语言模型协调”。防御者和攻击者拥有相同的工具，但这次只对攻击者有效。短短一周内，AI模型破解了人类无法攻破的后量子密码学候选方案，OpenAI的模型逃出沙箱并入侵其他公司服务器，现在攻击者又利用AI从号称自托管黄金标准的钱包中盗走了8900万美元。AI正在迅速成为加密货币最大的敌人。

宏观市场与其他动态

加密货币主要品种小幅下跌：BTC -1%至62,600美元；ETH -1%至1,840美元；SOL -1%至72.30美元；HYPE +3%至52.90美元。热门山寨币：ALGO +7%，HYPE +3%，ENA +4%。石油下跌6%至79.50美元；黄金持平于4,100美元。美股期货因伊朗和平潜力上涨：道指+1%，纳指+0.35%。Solana于7月31日连续第10个月收跌。BitGo CEO Mike Belshe公开挑战Anthropic入侵真实钱包，发布持有100 BTC的BitGo地址供其模型尝试盗取。Tether公布Q2净利润15亿美元，环比增长近50%，USDT流通量达1846亿美元，储备盈余超40亿美元，黄金持仓增至146吨。Eric Trump的American Bitcoin报告Q2亏损5720万美元，比特币持仓达8002枚。Circle获得纽约州金融服务部信托牌照，可在纽约运营数字资产托管业务。Bithumb计划2028年IPO。Strategy出售1.05亿美元比特币，用于支付优先股股息和回购。比特币ETF上周五净流出2.65亿美元，整周净流出6000万美元；以太坊ETF上周五净流入900万美元，整周净流入1100万美元。Meme币方面：DOGE -1%，SHIB -3%，PEPE -1%，PENGU -1%，TRUMP +1%，BONK -3%。Robinhood链上FRONG +84%，Cashcat +20%；Stonkbroker一度达5000万美元后回落。Solana链上CATE +130%，Manifet +69%，Kimchi +700%。DEX交易量占CEX的24%创历史新高。Polymarket和Kalshi七月交易量达500亿美元创新高。新发射台Flap在周日新发射数量上超越Pons。NFT市场：Punks持平32.3 ETH，BAYC -3%至8.16 ETH，Pudgy +2%至3.86 ETH；Stonkbrokers升至6.9 ETH；Pitboys +43%，Monkeyhood +200%。