尤其是那些长期未关注社群动态、可能尚未看到公告的用户，因为这类长期未操作的钱包，目前正是最容易遭到攻击的目标。

　　第4波洗劫来袭，财损突破1亿美元

　　这绝非空穴来风的预防性警告。研究机构Galaxy Research周一指出，疑似侦测到第4波攻击发生，黑客又从709个地址转走约449枚比特币，累计损失从8,900万美元进一步扩大至约1.14亿美元。

　　这波灾情的源头是自2021年就潜伏在Coldcard固件的漏洞，若用户钱包仅由单一私钥控制，且未设定第二道授权机制，攻击者就可能藉由漏洞推算私钥并盗取资产。

　　Coldcard表示，目前受影响范围仅限于特定型号的装置与固件版本，除非用户主动采取防护措施，否则风险仍将持续存在。官方建议如下：

　　Coldcard Mk3：若建立钱包时使用4.0.1或更新版本固件，应立即将资产转移。

　　Coldcard Mk4、Mk5与Q：若固件版本低于5.6.0，应先更新固件，再重新建立新钱包，最后将比特币移转至新地址。

　　母公司Coinkite指出了一个例外情况：若用户当初建置钱包时，采用了实体功能，也就是掷骰至少50次并输入结果，让钱包以此随机数字生成金钥，而非依赖系统内建程序，这类钱包因未曾接触受感染的代码，目前绝对安全。

　　在密码学中，助记词等同于掌控钱包资产的最高权限主钥。若系统在生成过程中缺乏足够的随机性，黑客就能轻易推导并还原出这把钥匙，连实体设备都不必碰触，就能从远端将钱包内的资产洗劫一空。

　　资安专家：单一厂商缺失，非自托管失败

　　针对这起事故，竞品冷钱包制造商Ledger的资安专家Vincent Bouzon认为，这纯粹是单一厂商的，不应全盘否定自托管的核心价值。

　　他进一步强调，因为恐慌而放弃自托管、转投其他选项反而更危险。缺乏安全硬件保护的纯软件钱包风险极高；而将资金交由中心化交易所保管，实质上「并不代表你真正拥有这些资产，那充其量只是一张借据。