近日，Galaxy Research 监测到针对 Coldcard 钱包密钥漏洞的三波攻击行为。其中，第一波与第二波攻击呈现出高度相似的特征：均采用至少多个共享地址、相同的 P2WPKH 输出格式以及统一的派生路径组合；攻击时间间隔约为 27 小时，推测为同一攻击者所为。然而，这两波攻击在手续费设置及是否启用 RBF（加速手续费替换）信号上存在一定差异。
第三波攻击则在多个行为特征上与前两波明显不同：放弃使用共享归集地址，转而为每位受害者分配独立目的地址；资金存储方式改用 P2WSH 而非 P2WPKH；平均每次清仓打包 6.37 名受害者（第一波则为逐一清仓）；且仅扫描默认派生路径。
Galaxy Research 指出，这可能是同一攻击者在攻击工具或策略上进行调整后的行为演变，也有可能是另一独立攻击者利用已公开的漏洞密钥空间实施作案。链上数据目前无法区分这两种可能性。尽管如此，该机构可以确认的是：每一波攻击内部均由单一操作者完成。
截至目前，攻击者已控制总计 1366.3865 枚 BTC（价值约 8860 万美元），且所有终端地址中的资金均尚未转出。其中，一、二波攻击所涉资金共计 1158.8148 枚 BTC，分布在 7 个仍在持续监控中的地址中；第三波攻击则涉及 293 个 P2WSH 金库地址，但由于相关脚本尚未公开，具体脚本内容只能在首次支出时揭示。若未来发现跨金库之间存在重复使用的联署密钥，则有助于进一步确认其关联性。
值得注意的是，所有被盗的 BTC 均来源于 2021 年 3 月 17 日漏洞固件发布区块之后，没有例外情况。
