虚假安全公告诱导用户迁移助记词
TREE NEWS 报道， 比特币硬件钱包厂商 COLDCARD 证实，其官方 X 账号遭入侵并被用于发布虚假安全公告，内含钓鱼链接。该帖文谎称新版固件存在助记词生成漏洞，并诱导用户访问仿冒网站「迁移」资产。目前相关帖文已被删除，官方表示已展开调查。
熟悉的套路，高价值的目标
此次攻击遵循了加密钓鱼的经典剧本：劫持可信品牌的社交账号，围绕虚假漏洞制造紧迫感，再将用户引向仿冒域名以窃取助记词。硬件钱包用户之所以成为重点目标，恰恰因为他们通常持有较大余额并选择自托管。一旦助记词在钓鱼网站上被输入，任何固件、密码短语或多签设置都无法挽回损失。
时机也值得注意。COLDCARD 近期持续推送固件更新并扩展产品线，这为攻击者提供了「安全公告」的合理借口。该事件也再次凸显，加密行业的信任层如今高度依赖少数几个社交媒体账号——一个被盗的密码或会话令牌，就能在几分钟内触达数万名高净值用户。
自托管的两面性
硬件钱包的初衷是消除交易对手风险：没有交易所、没有托管方、没有资产再质押。但同样的主权，也把操作安全的全部责任压在用户身上。钓鱼攻击利用的，正是设备密码学保证与屏幕另一端「人」之间的落差。行业数据反复显示，绝大多数散户损失源于社会工程，而非密码学被攻破。
- 跨渠道验证：不要点击社交帖文中的链接，直接访问厂商官方域名，并在多个独立渠道交叉核对公告。
- 助记词从不「迁移」：合法固件更新不会要求用户输入或转移助记词，任何此类要求都是危险信号。
- 默认账号可能失陷：品牌方应将社交账号视为关键基础设施，采用硬件密钥、最小权限访问和快速下架流程。
后续影响
COLDCARD 迅速删帖并公开承认，是正确的第一步，但此事可能加速两大趋势：加密品牌在社交平台上的操作安全标准提升，以及对抗钓鱼认证与固件签名验证的关注升温。对用户而言，教训并不新鲜却更加紧迫——在自托管世界里，助记词就是资产本身，任何公告无论看起来多么官方，都不值得你把它敲进浏览器。
