KuCoin 創投週報：剖析 Coldcard 硬體漏洞，ETF 與穩定幣基礎設施在宏觀冷卻背景下吸納資金
2026/08/11 11:17:00
1. 週度市場焦點
Coldcard 的大規模漏洞動搖了對自持保管的信心：硬體錢包安全從「離線隔離」轉向密鑰生成審計
上週，Coldcard 硬體錢包的漏洞持續擴散，成為本年度最重大的個人自託管安全事件之一。Coldcard 是由加拿大比特幣安全公司 Coinkite 於 2017 年推出的僅支援比特幣的硬體錢包，主要針對進階自託管及注重安全的用戶，其主要賣點包括物理隔離簽名、可驗證的固件和更嚴格的離線密鑰管理。與 Ledger 和 Trezor 等大眾市場品牌相比，Coldcard 在市場份額上並未位列最大的硬體錢包供應商之列，且其銷售量或市場份額並無公開可驗證的數據。然而，它長期在比特幣原生社群中建立了以安全和較小攻擊面為基礎的聲譽。因此，此漏洞的影響超越了直接的財務損失：一款以「安全優先」為核心理念的專業硬體錢包，在密鑰生成這一最根本的階段竟存在長期未被發現的缺陷。
與交易所被駭、智能合約遭利用或用戶端私鑰洩露不同，此事件源於錢包種子生成時隨機性不足。2021年3月發布的固件更新引入了一個整合錯誤，導致部分Coldcard設備無法如預期般從硬體隨機數生成器（RNG）獲取足夠的隨機性，反而轉向可預測的軟體隨機數路徑。根據Block Engineering的說法，部分受影響設備所生成種子的有效隨機性可能從預期的約128位元降至僅約40位元。這使得攻擊者能夠透過計算方式列舉可能的種子，並與公開可見的比特幣地址進行比對，而無需存取實體設備、備份或將錢包上線。
該漏洞在七月三十日開始被大規模利用前，已潛伏超過五年。各區塊鏈情報公司對總損失的估計仍存在差異。截至八月五日，TRM Labs 追蹤到從超過 5,200 個地址竊取的約 1,816 BTC，當時價值約 1.16 億美元。八月七日，Galaxy Research 將累計損失估計上調至約 1.3 億美元，並評估指出，有超過十名獨立攻擊者參與了多輪資金轉帳。
更重要的是，部分受影響用戶遵循了離線冷儲存的標準模式，其設備從未連接互聯網。攻擊者並未繞過錢包的物理隔離；相反，控制資產的錢包助記詞從創建之初就缺乏足夠的隨機性。硬體錢包通常透過物理隔離、安全元件和離線簽名來降低私鑰暴露於網路環境的風險。但所有這些防護措施都基於一個更根本的假設：用於生成錢包助記詞的隨機性本身必須足夠不可預測。一旦這一假設失效，即使私鑰從未離開設備，後續的網路隔離也無法提供保護。
資料來源：Block Bitcoin Engineering
事件發生後，Coldcard 的開發商 Coinkite 發布了安全公告並修復了固件。然而，固件升級僅能防止新生成的錢包助記詞受到相同問題的影響，無法強化先前生成的弱助記詞。因此，受影響的用戶仍需在已修復的環境中生成新的錢包助記詞，並遷移其資產。Coinkite 亦指出，若用戶在生成助記詞時已加入足夠的獨立物理骰子熵，或使用了強大的 BIP-39 密碼，則面臨的風險將顯著降低。
Coldcard 事件也引發了一個更廣泛的問題：較大的硬體錢包製造商能否避免此類失敗？與 Coldcard 相比，Ledger 和 Trezor 等主要廠商擁有更大的用戶群和更充足的開發資源，但單靠規模無法消除根本的安全風險。Coldcard 本身並非簡單或低端產品，其僅支援比特幣的架構、公開的韌體程式碼，以及對物理隔離操作的支持，都是為了減少其攻擊面。然而，隨機數生成的缺陷在公開代碼中存在了數年，直到真實資金被盜後才引起廣泛關注。這表明，硬體錢包的安全性不能僅憑品牌規模、是否具備安全元件，或設備是否離線運行來判斷。它還取決於關鍵代碼是否接受持續的獨立審計，以及隨機數生成、熵生成與傳播、韌體依賴項和構建流程等底層假設是否持續得到驗證。
從更廣泛的行業角度來看，此事件並未否定自託管模式，但重新定義了「自託管安全」的邊界。業界傳統上專注於用戶是否掌控自己的私鑰，而 Coldcard 引入了一個更根本的問題：「私鑰一開始是否以可信任的方式生成？」自託管減少了與交易所或第三方託管機構相關的交易對手風險，但也將部分風險轉移至硬體設計、固件代碼、密鑰生成、備份與恢復流程，以及用戶自身的安全實踐。
對於長期持有大量資產的個人和機構而言，過度依賴單一裝置、單一製造商或單一種子隨機性來源，本身便可能造成集中風險。因此，多重簽名設定、結合不同製造商的裝置，以及使用獨立的隨機性來源的重要性隨之提升。特別是對於機構資產管理而言，自我託管解決方案的安全評估，可能需要超越傳統上僅關注私鑰是否保持離線的範疇，而擴展至涵蓋整個鑰匙生命週期，包括種子生成、簽署、備份、恢復和韌體升級。
未來，市場需密切關注受影響的 Coldcard 錢包地址最終數量、最終損失估計、被盜資金的流動情況，以及是否存在其他硬體錢包同樣的隨機數生成或固件依賴風險。Coldcard 事件的核心教訓並非「冷錢包不安全」，而是硬體錢包的安全模型不能僅止於「設備離線且私鑰從未離開設備」。隨著個人和機構自持資產的數量持續增長，從助記詞生成到交易簽署、備份與恢復的整個密鑰生命週期，都必須成為可驗證的安全邊界。
2. 每週精選市場訊號
緊縮預期的輕微放緩：加密貨幣基金集中於 ETF 和穩定幣基礎設施
1) 傳統市場變動、重要事件與簡要分析
美國市場的核心變數已從企業盈餘轉回宏觀經濟數據。美國7月非農就業人數出人意料地轉為負增長，且前兩個月的數據被下修，強化了勞動市場正在放緩的判斷。然而，失業率同時下降，主要受勞動參與率下滑的影響。因此，當前的就業市場更接近「招聘活動顯著放緩」的狀態，而非由大規模裁員主導的衰退。
資料來源：TradingView
從金融市場的角度來看，主要交易因素是進一步加息壓力的減輕。勞動市場顯著放緩削弱了美國聯邦儲備系統短期加息的動力；短期美國國債收益率下跌，標普500指數創下新高。
同時，能源價格在通脹方面仍存在不確定性：截至本週末，布蘭特原油價格回升至約每桶 $84，霍爾木茲海峽的航運安排尚未完全解決。中國正傾向於利用資本市場為科技和人工智慧產業提供資金支持。
日本銀行在七月會議摘要中指出，通脹的上行風險正在增加；委員會成員表示，如果潛在的消費者物價指數通脹持續接近 2%，政策利率加息的速度可能會快於市場預期。
資料來源：CME FedWatchTool
此點可從最新的 CME FedWatch 定價中清楚看出。截至 8 月 10 日，市場預期 9 月 16 日會議：
-
53.9% 的機率維持利率於 3.50%–3.75%；
-
46.1% 的機率將加息 25 個基點至 3.75%–4.00%；
-
降息機率仍接近 0。
因此，本週的宏觀環境難以簡單地遵循「就業疲弱 → 貨幣寬鬆」的邏輯，其背後的邏輯更接近：就業放緩減少了美联储繼續短期緊縮的迫切性，但能源價格和核心通脹仍限制了政策轉向的空間。
BTC 交易所交易基金買入需求改善，但 BTC 仍於 65,000 美元附近震盪
資料來源：SoSoValue
截至發稿時，比特幣已再次逼近 65,000 美元，但尚未形成明確的趨勢突破；以太坊已反彈至約 1,919 美元。近期公開市場數據顯示，比特幣持續在 64,000–65,000 美元區間波動，而以太坊則表現出相對較強的勢頭。
機構資金是本週加密貨幣市場最明確的正面信號之一。根據截至8月7日的週度數據，近期出現了相對明顯的資金回流。從5月底至6月底，市場連續數週出現大規模淨流出，部分單週流出金額超過10億美元。進入7月後，流出大幅收窄，而8月第一週的淨流入接近9億美元。值得注意的是，儘管ETH期貨ETF的規模遠小於BTC，但已連續數週保持輕微正向流入，顯示其資金趨勢相比5月和6月顯著改善。
BTC 在單一週內錄得超過 8.5 億美元的淨流入，但價格仍波動於 65,000 美元附近；ETH 也呈現類似模式。這表明，目前 ETF 的買盤壓力主要用於吸收現有的市場賣壓，尚未形成明顯的供需失衡。
總市值略降，主流鏈上美元合約同步下降
資料來源：DeFiLlama
數據顯示，穩定幣總市值約為 $3006.1 億美元，過去 7 天增加 $6.4442 億美元，增長率約為 0.21%。USDT 仍絕對主導，佔據 60.91% 的市場份額。穩定幣市場並未顯著收縮，但尚未出現廣泛擴張。由 ETF 代表的傳統金融資金顯著改善，而原生加密貨幣的美元流動性則基本持平；兩者之間的分歧持續存在。
下週需關注的重要金融/宏觀事件
下週的重點事件集中於美國：
-
8 月 12 日：美國 7 月 CPI。在就業數據放緩的背景下，這項通脹數據可能成為決定美联储 9 月政策方向的核心指標之一。
-
8 月 13 日：美國 7 月 PPI。
-
8 月 14 日：美國 7 月零售銷售數據。
-
請持續監控霍爾木茲海峽的航行狀況及布蘭特原油價格。
-
請繼續監控聯準會官員在七月就業數據後對政策風險平衡的重新評估。
理由是，目前 FedWatch 正處於近乎 50/50 的「維持不變/加息」狀態。如果 CPI 繼續下降，疲弱的 7 月就業數據與改善的通脹將形成單向信號，可能進一步降低加息的可能性。相反，若 CPI 回升，就業的邊際疲軟可能不足以阻止聯準會繼續收緊流動性。
加密貨幣一級市場活動：
資料來源：CryptoRank
近期，主要市場資本持續傾向於兩個核心主題：「連接現實世界（RWA/支付）」和「合規基礎設施」。對於沒有現金流支持的通用純應用程式或協議，融資變得更加困難。資本正聚焦於能夠真正打破傳統金融（TradFi）與去中心化金融（DeFi）之間壁壘、具備擴展潛力並展現盈利能力的企業級服務提供商。
本週最大的兩輪公開融資與支付/穩定幣高度相關：非洲最大的加密貨幣交易所及合規法定貨幣出入金通道 Yellow Card 完成 4000 萬美元的戰略融資；日本合規穩定幣 JPYC 完成 3800 萬美元的 B2 輪融資。
這筆大規模融資具有強烈的行業風向標意義。投資者包括傳統銀行背景的資本，如 SC Ventures（渣打銀行）、產業資本如索尼創新基金，以及加密貨幣基金如 Polychain Capital 和 Blockchain Capital。本輪融資後，Yellow Card 的累計股權融資超過 $120 百萬。比融資金額更值得注意的是其投資者結構：傳統銀行資本、產業資本與加密貨幣風投的同時進入，反映出穩定幣基礎設施正逐漸成為傳統金融與加密資本的跨界焦點。
在早期，Yellow Card 主要解決了非洲用戶買賣比特幣和數碼資產的門戶問題，但過去幾年其業務定位已發生顯著變化。2025 年，公司正式停止零售應用程式業務，專注於 B2B 和機構級穩定幣基礎設施。本輪融資也將主要用於擴展其全球 USD 帳戶業務，並持續拓展拉丁美洲和亞太市場。
透過 Yellow Card 的解決方案，企業可在單一帳戶中持有美元和穩定幣，進行穩定幣財務管理，並透過本地支付網絡在 50 多個國家發送和接收付款。公司披露，其網絡已處理超過 $10 億的交易量，並與 Visa、Mastercard、PayPal 和 Coinbase 等機構建立了合作關係。
此「合規通道＋穩定幣支付實施」商業模式不僅具有明確的盈利預期，更完美契合機構資本當前對大規模現實世界採用的投資偏好，代表了 Web3 基礎設施下一階段的核心演進方向。
總體而言，資本仍願意支持具有監管通道、現實資產現金流或明確 B2B 客戶的項目，但對缺乏收入驗證的通用協議和同質化應用程式仍保持謹慎態度。
關於 KuCoin Ventures
KuCoin Ventures 是 KuCoin 交易所的領先投資部門，KuCoin 交易所是一個以信任為基礎的全球領先加密貨幣平台，服務超過 4,000 萬用戶，覆蓋 200 多個國家和地區。KuCoin Ventures 致力於投資 Web 3.0 時代最具顛覆性的加密貨幣與區塊鏈項目，並透過深入的洞察與全球資源，為加密貨幣與 Web 3.0 建設者提供財務與戰略支持。作為一個以社群為本、以研究為驅動的投資者，KuCoin Ventures 與投資組合項目在整個生命週期中緊密合作，重點關注 Web3.0 基礎設施、人工智慧、消費者應用、去中心化金融（DeFi）和支付金融（PayFi）。
免責聲明：此一般市場資訊可能來自第三方、商業或贊助來源，並不構成法律、合規、財務或投資建議、要約、誘導或保證。我們對其準確性、完整性或可靠性不做任何明示或暗示的陳述或保證，並對任何因此產生的損失不承擔責任。投資/交易存在風險；過往表現並不保證未來結果。用戶應自行研究、謹慎判斷，並承擔全部責任。如有需要，請諮詢專業的法律、稅務或財務顧問。
免責聲明: 本頁面經由 AI 技術翻譯，旨在方便您的閱讀。欲獲取最準確資訊，請以原始英文版本為準。