Galaxy Research 指出，根据截至 8 月 13 日的最新数据，Coldcard 相关损失已累计超过 1.15 亿美元，涉及 1,778.58 枚 $BTC，波及自 7 月 30 日以来的 8,680 个地址。
该机构最新发布的一张统计图，按照交易特征对 10 个最大“洗劫”团伙进行了排名。不过，大多数被盗地址至今仍未查明具体归属。
关注我们的 X 账号，第一时间获取最新动态
Coldcard losses have exceeded 5M (based on the price when coins were stolen)
— Galaxy Research (@glxyresearch) August 16, 2026
Galaxy Research has spoken with 200+ victims to support them and gather intelligence on the attackers
This thread contains additional charts and info 👇 pic.twitter.com/H2K141mugF
所有被盗币均源自 2021 年固件更新之后
这份存在安全漏洞的固件最早于 2021 年 3 月 17 日，区块高度 674,951 正式发布。Galaxy 调查发现，遭窃 $BTC 均未早于此时间点创建。
在多轮攻击中，被盗的 6,303 枚 $BTC 无一在固件发布前生成；受害者报告的 3,598 个地址，也同样如此。最早的涉及时间为 2021 年 3 月 22 日。
固件发布时点，几乎已成为漏洞利用的“标记”。仅有在受到影响的设备上生成的密钥及其资产，才会在此之后出现异常损失。
被盗地址的持有周期亦反映了影响范围。这些被盗资产在遭到转移前，平均“沉睡”了 1,292 天，约 3.5 年。同样，Galaxy 早在 8 月 3 日就已发布新一轮攻击预警。
第一轮攻击 1 小时内席卷 61% 损失
最新统计显示，硬件钱包造成的损失规模已超出早前估算。其中首轮洗劫最为猛烈。
Galaxy 统计，仅第一波攻击，造成损失高达 7,020 万美元，占总损失的 61%。攻击速度甚至引发币安创始人赵长鹏（CZ）的紧急预警。
相关转账操作分布于九个区块，仅用 41 分钟就完成。攻击方为每笔交易支付约 30 聪/vByte 的手续费，每次仅转移一个受害地址资产。
该波攻击共扫荡 1,195 个地址，资金被转入 4 个集中收款钱包。相比之下，Footprint E 触及了 2,147 个地址，最高支持单次打包转移 795 个。
值得一提的是，第一波攻击所得的大部分资产尚未转移。在被盗的 1,082.65 枚 $BTC 中，依然有 1,082.57 枚未被移动。Footprint E 相关 209.94 枚 $BTC 基本已转移，仅剩 4.38 枚留存。
第三波攻击的处理则有所不同。攻击者最初将窃取资产转入普通钱包，但截至目前，已有 207.73 枚 $BTC 存放至脚本哈希类型的“保险库”地址。
当前的链上数据与实际报告数量仍存在滞后。目前，已被统计在内的损失申报者仅 192 人，总计损失 714.81 枚 $BTC，占全部被盗比特币数量的 40.2%。
单个损失申报金额最高达到 58.97 枚 $BTC，中位数约为 1.03 枚。其余 6,890 个钱包地址，共计持有 1,063.76 枚 $BTC，目前尚未有对应失主认领。
订阅我们的 YouTube 频道，第一时间获取业内领袖与资深记者的权威解读
https://youtu.be/eQ5VKGYaaDA在 cn.beincrypto.com 阅读由 Kamina Bashir 撰写的原始文章 Coldcard 损失超 1.15 亿美元