白帽操作者已將與 7 月 Coldcard 錢包漏洞利用事件相關的 52.37 BTC，轉入一個與恢復信託相關的地址；該信託旨在將已救回的比特幣返還給經驗證的所有者。
Galaxy Digital 研究主管 Alex Thorn 表示，這些比特幣來自其追蹤的第二波攻擊集群，以及標記為 AA、AU 與 AX 的足跡，該次歸集記錄於比特幣區塊 967,948 中。Thorn 表示，這筆金額占其團隊正在追蹤之漏洞利用資金的 2.8%。
根據 Thorn 說法，目的地交易附帶了一則 OP_RETURN 訊息，指向「claim:cryptorecoverytrust dot com」。Galaxy Research 另外識別出同一區塊中的一筆活動，涉及 20 個輸入與 480 個輸出，並公布了交易 ID 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47。
此次轉移使部分已回收的比特幣納入 Crypto Recovery Trust 管理。該信託為懷俄明州法定信託，設立目的在於持有自遭入侵錢包中回收的數位資產，並在審查所有權申索期間妥善保管。
Crypto Recovery Trust 表示，其角色是透過正式的申索流程，讓已回收資產與其合法所有者重新對接。其網站將該法律實體標示為懷俄明州已回收數位資產法定信託（Recovered Digital Asset Statutory Trust of Wyoming），並指定 Agentic Trace LLC 擔任受託人。
數位資產恢復信託（Digital Asset Recovery Trust，簡稱 DART）在此次最新歸集前，已揭露與 Coldcard 事件相關的恢復工作。DART 表示，截至 8 月 17 日，其與獨立白帽研究人員已自脆弱地址中保全略高於 50 BTC，並在惡意行為者接觸到這些資金前完成轉移。
DART 表示，已回收的比特幣被置於信託之下，而非研究人員控制的錢包或營運帳戶中。在資產返還前，其流程包括區塊鏈分析、所有權證明審查以及制裁篩查。若資金涉及競爭性申索、制裁限制或刑事程序，則可能需依循其他法律程序處理。
9 月 21 日的這次轉移，提供了這些恢復行動較新的鏈上視角。Thorn 將這 52.37 BTC 明確對應到先前已識別的漏洞利用集群，並稱其為由白帽控制的資金。他所稱的 2.8% 計算，是基於 Galaxy 所追蹤的漏洞利用總量，不應被解讀為 Coinkite 官方損失數字。
Coldcard 事件始於 7 月 30 日，當時攻擊者利用受影響韌體所產生、已被削弱的比特幣錢包種子發動攻擊。Coinkite 當前的事件記錄說明，一項韌體整合缺陷導致種子生成路徑最終使用了 MicroPython 的 Yasmarang 軟體偽隨機數產生器，而非原本預期的硬體隨機數產生器。
攻擊者無須遠端控制這些硬體錢包。Coinkite 表示，由於隨機性降低，使受影響的種子詞更容易被搜尋，攻擊者因此可在離線狀態下重新生成脆弱的私鑰。該公司將此事件定義為韌體種子生成失效，而非對 Coldcard 裝置的遠端接管。
獨立技術研究已將這項弱點追溯至 2021 年起的韌體變更。一項公開調查估計，在受影響條件下，較舊的 Mk3 裝置可能僅產生約 40 位元的有效熵，而 Mk4、Mk5 與 Q 型號則約保留 72 位元，而非原定的安全水準。
早期損失規模小於後來與多波攻擊相關的總額。正如 crypto.news 先前報導，Coldcard 韌體建置錯誤與第一波比特幣損失，涉及約 594 BTC，在大約 25 分鐘內自約 500 個錢包遭轉出。
後續追蹤又識別出更多錢包與攻擊波次。crypto.news 另一項針對 Coldcard 持續五年的熵缺陷與四波攻擊的調查估計，隨著分析師擴大已識別範圍，已有 1,816 BTC 自超過 5,200 個地址移出。
因此，損失估算會因納入哪些攻擊波次、集群與恢復交易而有所不同。Coinkite 目前的安全狀態頁面，並未公布所有遭竊比特幣的單一最終總數。
Coinkite 於 7 月 31 日針對受影響的韌體分支發布緊急修補。該公司的下載封存顯示，Mk4/Mk5 的 5.6.0 版與 Q 的 1.5.0Q 版，是首批修正未來種子生成問題的標準版本；另外也有獨立修補涵蓋較舊的 Mk2/Mk3 裝置與 Edge 韌體。
在初始修補後，安全工作仍持續進行。目前建議使用的標準版本為 Mk4/Mk5 的 5.6.2，以及 Q 的 1.5.2Q，兩者皆於 9 月 3 日發布。Edge 使用者則被引導升級至 Mk4/Mk5 的 6.6.1X，以及 Q 的 6.6.1QX。
Coinkite 強調，安裝已修正的韌體並不會改變現有種子。即使裝置已更新至最新版本，若錢包是在脆弱韌體下生成，仍可能持續暴露於風險中，因為弱點存在於種子本身。
對於受影響的種子，除非符合公司所述的獨立擲骰例外條件，否則使用者應生成已修正的替代種子並遷移資金。Coinkite 表示，在相關流程中加入至少 50 次公平、獨立且私下記錄的六面骰擲骰結果，可額外提供至少 128 位元熵；但若使用者無法確定是否符合條件，則應進行遷移。
目前的恢復流程核心，在於驗證哪些人控制了那些曾被白帽掃出比特幣的地址。Crypto Recovery Trust 允許申索人透過其網站查詢恢復資訊、追蹤已提交的申索，並提供額外佐證資料。
DART 表示，該信託的設計目的，是在所有權確立前，將已回收的比特幣與研究人員資金及營運資金隔離。根據 DART 的揭露，Steptoe 國安業務團隊的律師正為受託人提供建議，因為部分返還資產可能需要接受制裁、執法機關或競爭性所有權審查。
根據該組織說法，參與 DART 早期恢復工作的白帽研究人員並未要求賞金。DART 表示，在 8 月統計之後，其他脆弱資產與可能的恢復線索仍在審查中，這也意味著未來仍可能有更多與 Coldcard 相關的資金進入申索流程。
對於仍依賴受影響 Coldcard 韌體所生成種子的錢包，Coinkite 目前的指示並無改變：安裝並驗證已修正的韌體版本、在已校正的流程下建立新的種子，並將資金自脆弱種子遷出。
BTC
