K33研究主管Vetle Lunde称，Coldcard硬件钱包固件缺陷引发的攻击，可能推动约89万枚BTC在7天内发生转移，并创下2026年最高7日活跃供应纪录。链上数据显示，比特币7日热供应量从7月28日的403101.95枚升至8月4日的797407.72枚，一周增加约394306枚，增幅98%。K33估算，约7300个地址已有1596枚BTC被盗，自7月30日起协调转移已移走约1600枚BTC，可能的第四波攻击使总量接近2000枚BTC。

Galaxy Research 追踪显示，Coldcard 硬件钱包漏洞已在 3 轮确认攻击中造成超过 1596 枚 BTC 被盗，若计入疑似第 4 轮，总额接近 2055 枚 BTC。Coinkite 8 月 1 日发布技术说明称，问题出在种子生成流程错误切换到软件伪随机数生成器，导致部分设备熵不足。受影响钱包需重新生成种子并转移资金，单纯升级固件无法修复已有种子。

Coldcard 开发团队周二发布紧急声明，称针对其钱包漏洞的攻击仍在继续，并要求用户立即转移存放在 Coldcard 钱包内的比特币。Galaxy Research 周一表示，疑似第 4 波攻击已从 709 个地址转走约 449 枚比特币，使累计损失由 8,900 万美元扩大至约 1.14 亿美元。官方称受影响范围限于特定型号和固件版本，并给出不同设备的处理建议。

8月4日至5日，加密市场消息密集出现。SpaceX披露二季度营收78亿美元，持有的18,712枚比特币因币价下跌出现约5.4亿美元账面浮亏；Coldcard继续敦促用户迁移资金，Galaxy称攻击者至少15人；韩国交易所同步上线QUID，机构质押、RWA、BIP-110与多起链上大额交易也在推进。

Bitcoin Magazine 评论称，Coldcard 固件随机数生成缺陷导致比特币私钥易被猜测，已造成至少 1,300 枚 BTC 被盗，部分估计高达 2,000 枚，并促使部分用户将逾 11,000 枚 BTC 转入托管交易所。文章认为，硬件钱包厂商的失误重创行业，但不足以否定自托管本身；相反，若放弃私钥控制，比特币削弱对中介机构和法币体系的根本挑战。文中还借 1933 年美国黄金没收令与金本位瓦解的历史，论证比特币在抗没收、跨司法辖区保管和价值转移上的优势。

Coinkite表示，COLDCARD上周被利用的漏洞不在比特币或加密代码本身，而是出现在两个无关联固件子模块的边界处，因此多年间避开了人工与 AI 辅助代码审查。该公司称，事后测试 Kimi K3、Claude Fable 和 Codex 5.6 等模型，均未识别出这一缺陷，并呼吁安全关键型项目单独审计构建系统和子模块边界。

Coinkite表示，一处漏洞出现在两个互不关联的固件子模块边界，而不在其比特币或加密代码中，因此多年未被人工和 AI 辅助代码审查发现。事件发生后，Coinkite测试了 Kimi K3、Claude Fable 和 Codex 5.6，称这些前沿 AI 模型都未识别出该缺陷。该公司正敦促安全关键型项目单独审计 build 系统和子模块边界，并提醒 AI 辅助开发可能在比特币生态中留下类似盲点。

Coldcard在X平台回应称，“当前固件会导致Coldcard设备永久变砖”的说法并不准确。公司表示，若设备出现TRNG故障，用户只需在完全移除所有电源后重新启动设备。Coldcard称，该故障状态属于易失性状态，不会写入设备闪存，系统会以“安全失败”方式处理，不会造成设备永久损坏。该公司同时提醒用户继续按照此前安全建议处理相关风险，后续修复方案也在推进。