事件概述
COLDCARD确认，其认证X账号于10月11日出现一条未授权钓鱼帖，诱导比特币用户访问一个欺诈性钱包安全网站。公司在删除该消息后表示，正在调查帖子如何被发布，并已联系X寻求协助。COLDCARD警告客户不要打开可疑链接，也不要遵循其中指示。
账户安全与调查进展
COLDCARD称，其官方X账号自2017年以来一直使用离线双重验证（2FA）和严格受限的访问权限。据报道，该公司在致X支持团队的消息中表示，无法识别与该未授权发布相对应的登录、会话或访问记录。根据TechFlow 10月11日报道，COLDCARD对可能涉及X内部系统或管理员权限的未授权访问表示担忧，并要求X调查并保留相关访问记录。COLDCARD提出平台层面遭入侵仍是一种可能性，但目前并非已确立结论。在已审查来源中，X尚未公开确认与该事件相关的平台级漏洞。
假帖内容与风险
据报道，该未授权帖子冒充紧急警告，声称新版钱包固件中恢复短语生成存在所谓漏洞，并指示客户通过安全迁移流程转移比特币资产，同时引导其访问一个仿冒COLDCARD的网站。安全观察人士将该链接识别为钓鱼尝试。该网站的具体运作方式，包括是否收集恢复短语或分发恶意软件，尚未得到独立证实。COLDCARD未披露该欺诈消息可见时长，也未说明在删除前可能有多少用户访问该网站。在已审查来源中，尚无经过核实的报道确认10月11日这起钓鱼尝试造成直接财务损失，也尚无经过核实的证据指认发布该消息的个人或团体。COLDCARD未将该事件与有关地下市场出现出售X管理员账户广告的报道建立任何关联。
早前固件问题属独立事件
此次钓鱼警告出现在COLDCARD披露另一起独立安全问题之后。该问题涉及部分设备如何生成比特币钱包恢复短语。根据COLDCARD官方安全记录，2026年7月，制造商发现一个固件问题，影响用于生成恢复信息的随机性；部分旧版固件在创建钱包种子时未使用预期硬件随机源。公司随后为受支持设备发布修正固件，并指示受影响客户遵循官方恢复与迁移流程。早前报道将该弱点与使用随机性不足的恢复信息创建的钱包失窃事件联系起来。另一项独立分析讨论了与原安全问题相关的约1.16亿美元估算损失。这些历史估算与10月11日钓鱼事件无关。COLDCARD表示，其当前推荐的标准固件版本为Mk4和Mk5设备的5.6.3，以及Q型号的1.5.3Q。其文档指出，安装修正固件不会自动修复使用存在漏洞的旧软件生成的恢复短语。据报道，10月钓鱼消息利用对固件安全的担忧，促使客户再次进行钱包迁移。COLDCARD未将此次社交媒体事件与上述修正固件版本中的新漏洞联系起来。
仿冒域名与支持账号
在原固件问题公开后，独立研究人员已记录到多起冒充COLDCARD的尝试。8月5日，网络安全研究组织Unclone报告称，在7月安全披露后的五天内发现十个仿冒域名。Unclone检查了社交平台上97个使用COLDCARD或Coinkite相关品牌的账号，其中34个自称公司支持代表或员工。调查时，一个欺诈性支持账号拥有约1.7万名关注者。研究人员还发现攻击者试图联系公开讨论丢失比特币或钱包安全问题的用户。在某些案例中，攻击者据称将欺诈性迁移说明包装成对回应原固件警告者的协助。
官方指南
COLDCARD重申，coldcard.com是其唯一官方网站。当前官方设置说明指出，恢复词和备份密码绝不能输入其他设备，也不能通过网站或支持消息暴露。制造商建议客户验证固件下载，并在生成或更换钱包恢复信息时使用设备自身的安全流程。COLDCARD表示，将继续审查账户访问情况，并发布有关该未授权钓鱼帖的进一步核实信息。