Coldcard 彻底修改数据保留政策，为来自 1 亿美元漏洞的“法律义务”做准备

Coldcard 钱包的制造商 Coinkite 在 7 月发生的最大安全事件中被利用损失了 1.16 亿美元，该公司已通知用户，在可能产生的法律义务之前，它已对其存储用户数据的方式进行了重大更改。

周五早些时候在 Coldcard 的 X 账户上重新分发的通知详细说明了 Coinkite 将停止自动删除客户的记录。这一披露是该公司的逆转，该公司直接将此与固件漏洞联系起来，自 2026 年 7 月 30 日以来，该漏洞已从硬件钱包中盗取了超过 1 亿美元的比特币。

Coinkite 如何处理用户记录？

Coinkite 确认，它将改变处理客户数据的方式，“与 2026 年 7 月 30 日披露的安全事件有关。”然而，在该声明之前，该公司通常会删除客户记录，除了他们的电子邮件地址和居住国家。

Coldcard 钱包制造商标准做法的这一变化是其描述的为盗窃引发的“法律义务”做准备的一部分。

该公司未在声明中具体说明计划存储哪些信息，或未来将存储多长时间。

尽管如此，这是向隐私优先、自我托管理念的最近一次重大转变，这种理念已成为比特币极客数十年的信条。

Coldcard 发生了什么？

Coinkite 的 数据保留政策全面改革 紧随今年最严重的安全事件之一之后，该事件利用了该公司于 2021 年 3 月发货的 4.0.1 版固件。

作为 TRM Labs 警告，反映了安全漏洞的严重性，安装修复后的固件仅保护未来的钱包。在 2021 年 3 月到补丁之间在易受攻击的 Coldcard 上创建的任何种子都应被视为不安全。

到目前为止，Cryptopolitan 自 7 月 30 日漏洞首次曝光以来已报道了四波攻击。

第一波攻击在 25 分钟内清除了约 500 个钱包中的约 594 枚 BTC，当时价值近 3800 万美元。Galaxy Research 在接下来的四天里追踪了另外三波攻击。截至本报告发布时，攻击者的战利品现已达到 1,816 枚 BTC，分布在 5,200 多个地址上。

TRM 称其为 2026 年第三大加密黑客攻击，而这一年该行业已在 276 起事件中损失超过 12 亿美元。

Coinkite 反驳“他们知情”的说法

随着损失不断增加，指责 Coinkite 多年来隐瞒漏洞的声音也日益高涨。该公司一直在公开澄清事实。 

8 月 7 日，针对 Jack Mallers 的回应，COLDCARD 写道：“不存在弱熵回退机制”，并辩称名为 Yasmarang 的弱伪随机数生成器（PRNG）是 MicroPython 上游引入的内置通用生成器，而非 Coinkite 的回退方案。

此外，8 月 5 日有报道指出，常被引用为先前知情证据的 2021 年 Rabbit Hole Recap 节目实际上指的是另一个漏洞，而非 RNG 问题。Coinkite 自己的 历史披露页面 列出了自 2019 年以来的 23 起安全相关事件，该公司已多次向批评者展示该页面。

加拿大遭受重创

地理因素加剧了损失分布。Cryptopolitan 在 6 月报道 在 8 月 5 日报道称，根据将钱包地址数据库与可能地区关联的 Chainalysis 数据，约 25% 的归因损失可追溯至加拿大持有者，美国和泰国也深受影响。 

Chainalysis 将加拿大的风险归因于早期的比特币采用以及在当地推广 Coldcard 的影响者活动。

余波向外扩散。 CoinMarketCap 的每周研究报告 指出此次黑客攻击动摇了人们对自我托管的信任，并促使部分比特币用户重新转向中心化交易所。作为回应，由 AnchorWatch CEO Rob Hamilton 领导的名为“红队”（Red Team）的组织已开始利用 AI 辅助审计比特币钱包和库，目前已扫描了 150 个代码库。