Coldcard 攻击新研究：按地址持仓排序转移，转账工具疑似存在缺陷

ChainCatcher 消息，据 Bitcoin News 监测，@PraveenPerera 发布的新研究披露了 Coldcard 攻击者的转移手法。攻击者会先识别出存在漏洞的地址，再按地址中比特币持仓量排序，从持仓最高的地址开始分批转移资金。但实际使用的转移软件相当粗糙。

研究显示，某个地址共有 225 个可花费 UTXO，攻击者恰好提取了最新的 200 个，留下最早的 25 个，其中就包含一个价值 0.16 枚 BTC 的 UTXO。这与研究人员调查的一款区块链 API 默认返回 200 条记录的限制完全一致，说明攻击者可能没有加载下一页数据。更异常的是，软件甚至还花费了一个 294 聪的 UTXO，据报道使交易手续费增加约 2040 聪，支出明显高于该 UTXO 本身的价值。

研究作者据此认为，该工具构建者对账户余额系统的理解，可能强于对比特币 UTXO 模型的理解。尽管攻击者似乎已获取受害者的完整种子，但至少 75 枚 BTC 仍留在由相同种子派生的其他地址中。目前最大的疑点是，153 个被盗地址中仍有 132.95 枚 BTC，研究人员始终无法复现这些地址背后的种子，因此不能排除攻击者获取了未公开的私有设备数据或候选数据。