Coldcard官方X账号遭恶意发布，利用过去的漏洞发布假警告以针对BTC持有者

正規のセキュリティ対策を装ったフィッシング攻撃、侵害経路の特定急ぐ

比特币（Bitcoin/BTC）专用硬件钱包Coldcard的官方X账号发布了虚假的安全警告。

我们正在调查如何从该账户发布包含钓鱼链接的帖子。该帖子已被删除。请勿访问或与该链接互动。COLDCARD的唯一官方网站是 https://t.co/KPUcAMDQ4Y。自2017年以来，该账户一直使用离线2FA并严格限制访问。我们已联系@X并正在审核所有账户访问。我们将在此分享进一步的验证更新。

--- COLDCARD (@COLDCARDwallet) 2026年10月11日

日本語訳：
我们正在调查从该账户发布包含钓鱼链接的帖子。该帖子已被删除。
请勿访问或与该链接互动。COLDCARD的唯一官方网站是 https://coldcard.com 。
该账户是...

攻击者利用过去发现的固件漏洞，诱导用户访问钓鱼网站。Coldcard已删除该帖子，并正在调查侵害路径。2026年10月11日（星期日），Coldcard的官方X账号发布了关于其硬件钱包“Mk4”、“Mk5”、“Q”存在重大漏洞的虚假安全警告。

帖子声称钱包的恢复短语生成存在问题，并要求用户迅速转移比特币。发布了指向伪装成Coldcard的钓鱼网站的链接，伪装成正当的安全措施进行诱导。

此次攻击的特点是利用了2026年7月实际发现的Coldcard固件漏洞。当时，部分钱包确认存在与随机数生成相关的软件缺陷，影响恢复短语的安全性。利用该漏洞的攻击报告称，至少有7300个钱包被盗取约1亿美元（约158.6亿日元）相当的比特币。

制造商Coinkite（コインカイト）发布了修正版固件，并要求受影响的用户生成新的恢复短语并迁移资产。攻击者在虚假警告中引用了当时的修正版本号，模仿过去的应对措施。Coldcard已删除该帖子，并警告用户避免访问可疑链接，同时强调官方网站仅为“coldcard.com”。

严格的二段式认证下的恶意发布，侵害路径仍不明

Coldcard表示，自2017年以来，官方X账号采用了离线的二段式认证，并严格限制访问权限。然而，初步调查未发现与恶意发布相关的登录历史、会话或访问记录。该公司解释称，账户的认证信息和离线的二段式认证仍然保持安全。

该公司还提到通过X平台的访问权限和管理工具进行恶意发布的可能性，但尚未确认支持这一点的证据，侵害路径尚未确定。

Coldcard已联系X的支持，要求调查账户的访问情况。确认的信息将在未来公开。

此外，目前尚未确认与此次恶意发布相关的新固件漏洞。同时，通过钓鱼网站的信息泄露或用户的财务损失，目前尚不明确。

此次事件显示，来自官方账户的安全信息中也可能混入恶意链接。Coldcard呼吁用户在官方网站上确认重要信息。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。