xmr.club
EN 中文 ES RU
★ FRONT-PAGEASageSwap— Anonymous swap — no KYC, no AML hold, no IP logging, declines law-enforcement requests.→
/wallets · 已驗證 2026-09-16

Coldcard

D

Coinkite 出品的 BTC-only 硬體錢包。透過 SD 卡 PSBT 簽署，氣隙隔離。

維護者: Coinkite / NVK

⚠ INCIDENT

事件時間線

  1. 2026-07-30 First sweep — ~594 BTC (~$38M) drained from ~500 Coldcard-secured wallets into a single consolidation address within ~25 minutes.
  2. 2026-08-03 Further waves over four days; Galaxy Research tally reaches ~1,816 BTC (~$116M) across 5,200+ addresses.
  3. 2026-08-04 Coinkite publishes a security advisory, halts Coldcard shipments, destroys affected-firmware inventory, and directly contacts shipped-order customers. Root cause: a March-2021 firmware integration error (software PRNG instead of the STM32 hardware RNG).
  4. 2026-09-16 xmr.club downgrades Coldcard A → D and posts this incident; prior grade rested on verification that predated the exploit (last checked 2026-05-13).
  5. 2026-09-25auto On 21 Sep 2026 Galaxy Research and Alex Thorn reported that white-hat operators consolidated Coldcard-exploit coins into a Crypto Recovery Trust address in block 967948, with an OP_RETURN pointing victims to cryptorecoverytrust.com. Thorn put the traced amount at 52.37 BTC, about 2.8% of tracked losses and roughly 4…
輕度 KYC 硬體BTC-ONLYPSBT 非託管開源multisig supported已審計
前往 Coldcard → ⚠ 回報 Markdown 對應版 分享 ↗

一覽

等級
D ()
KYC 立場
輕度 KYC
手續費
$120 hardware · Bitcoin-only · PSBT-via-SD
最後驗證
2026-09-16
營運起始
2017 · 9y — Coinkite (parent) founded 2012; Coldcard hardware wallet product launched ~2017-2018. Domain WHOIS 2003 is premium-domain.
事件
⚠ 活躍自 2026-07-30 — /incidents
D 為什麼是 D 級？

Listed for completeness or as a warning. Either KYC posture is questionable at scale, the provider has known unresolved issues, or the listing exists to anchor a comparison.

完整細則 + 7 步驗證流程見 /methodology.

策展人裁定 · 核心結論

策展人評鑑結論與資安剖析

核心結論

Coldcard 具有顯著的資安顧慮、未證實的合規宣稱或未解決的事故紀錄。不建議用於核心隱私操作。

✓

已證實優勢

  • ▸ 非託管架構：在整個執行過程中用戶完全掌握自己的私鑰。
  • ▸ 開源代碼庫：公開程式碼庫便於社群獨立審查與安全稽核。
  • ▸ 具備扎實的營運資歷：自 2017 年起持續穩定提供服務（已達 9 年）。
⚠

資安取捨與警示

  • ▸ 未解決資安事件 (2026-07-30)：A March-2021 Coldcard firmware bug routed seed generation to a software pseudo-random number generator instead of the STM32 hardware RNG, weakening entropy on affected devices to as little as 40 bits (from 128). An attacker who reconstructed the formula derived private keys remotely — no physical access needed — sweeping ~594 BTC (~$38M) from ~500 wallets in the first 25 minutes, growing to ~1,816 BTC (~$116M) across 5,200+ addresses over four days (Galaxy Research tally). It is the largest hardware-wallet exploit of 2026.
  • ▸ 觸發式審查風險：若被自動化風控規則標記，交易或帳號可能會被暫停並要求身分審核。
  • ▸ 僅提供明網服務：缺乏官方 .onion 隱藏服務鏡像，造訪時會暴露網路 IP（除非自行走 VPN/Tor 轉跳）。

評測

Bitcoin-only 硬體錢包，透過 SD 卡上的 PSBT 簽署 — 永遠不會插上連網的機器。開源韌體、Microchip ATECC608A 安全晶片。Mk4 為當前型號，支援 BIP39/BIP85、taproot、multisig。配合 Sparrow/Specter 做多廠商 multisig 是常見組合。價格約 $120。

手續費

$120 hardware · Bitcoin-only · PSBT-via-SD

連結

取自營運方頁面 — 信任時效性指示前，請從多個管道交叉驗證身份。

稽核軌跡 — 編輯主張的收據

  • ● UPSTREAM 正常 · HTTP 200 · 882ms · 檢查於 3h ago
  • ○ ONION 未列出 .onion 鏡像
  • ✎ MANUAL 最後手動驗證 2026-09-16 (<30d)
  • ⌕ LOG 見 Coldcard 的策展人日誌

評論 — 已審核 · 規則

尚無社群評論。當第一個。

新增評論

歡迎誠實、中立的回饋。策展人審核後才會顯示。不需 JS。

必填：評論內容。誠實、具描述性的評論一天內核可。行銷文案、辱罵或攻擊會被退件。每 IP 每日上限 5 筆。