1. 每周市场热点解读：

Coldcard 大规模漏洞冲击自托管信任：硬件钱包安全从“离线隔离”转向密钥生成审计

上周，Coldcard 硬件钱包漏洞持续发酵，成为今年影响较大的个人自托管安全事件之一。Coldcard 是加拿大比特币安全公司 Coinkite 自 2017 年推出的 Bitcoin-only 硬件钱包，主要面向高级自托管和安全敏感用户，强调物理隔离签名（air-gapped signing）、可验证固件和更严格的离线密钥管理。与 Ledger、Trezor 等覆盖更广泛大众市场的品牌相比，Coldcard 并非硬件钱包市场中的头部份额产品，公开资料也没有可核验的销量或市占率数据；但其在 Bitcoin 原生社区长期以安全性和较小攻击面作为核心卖点，因此此次漏洞的影响并不只来自资金损失，更在于一个以“安全优先”为主要定位的专业硬件钱包，在最基础的密钥生成环节出现了长期未被发现的缺陷。

与交易所被攻击、智能合约漏洞或用户私钥泄露不同，本次事件源于钱包生成 seed 时的随机数缺陷。2021 年 3 月的一次固件更新出现集成错误，使部分 Coldcard 设备未能按设计从硬件随机数生成器（Random Number Generator，RNG）获取足够随机性，而是进入可预测的软件随机数路径。Block Engineering 的分析显示，部分受影响设备生成钱包种子时的有效随机强度可能由正常约 128 bits 降至最低约 40 bits，使攻击者可以在无需接触设备、获取备份或让钱包联网的情况下，通过计算枚举潜在 seed，并与公开的比特币地址进行匹配。

这一漏洞自 2021 年潜伏超过五年，直到今年 7 月 30 日开始被集中利用。不同链上追踪机构对损失规模的统计仍存在差异：TRM Labs 截至 8 月 5 日追踪到约 1,816 BTC、超过 5,200 个地址被盗，按当时价格计算约 1.16 亿美元；Galaxy Research 8 月 7 日进一步将累计损失估计提高至约 1.3 亿美元，并认为至少有十余名独立攻击者参与多轮资金转移。

更值得关注的是，部分受影响用户采用的正是硬件钱包最典型的离线冷存储方式，设备本身并未联网。此次攻击并不是突破了钱包的物理隔离，而是用于控制资产的钱包种子从生成之初就缺乏足够随机性。硬件钱包通常通过物理隔离（air gap）、安全芯片（Secure Element）和离线签名降低私钥接触网络环境的风险，但这些防护都建立在一个更基础的前提上——生成钱包种子的随机数本身必须足够不可预测。只要这一前提失效，即使私钥从未离开设备，后续的网络隔离也无法弥补密钥生成阶段留下的安全缺口。

图片来源：Block Bitcoin Engineering

事件发生后，Coldcard 开发商 Coinkite 已发布安全公告和修复固件。但升级固件只能避免未来新生成的钱包 seed 受到相同问题影响，无法增强此前已经生成的弱 seed，因此受影响用户仍需要在修复后的环境中重新生成钱包 seed 并迁移资产。Coinkite 同时指出，如果用户此前在生成 seed 时加入了足够的独立实体骰子随机性，或设置了高强度的 BIP-39 附加密码，实际风险可能明显降低。

Coldcard 事件也提出了一个更值得关注的问题：更大的硬件钱包厂商是否就可以避免类似错误。相比 Coldcard，Ledger、Trezor 等头部厂商拥有更大的用户规模和研发资源，但厂商规模本身并不能消除底层安全风险。Coldcard 本身并非设计简单的低端产品，其 Bitcoin-only、公开固件代码，并支持物理隔离操作，理论上都意在减少攻击面；但随机数生成缺陷仍在公开代码中潜伏多年，直到真实资金被盗后才受到广泛关注。这意味着硬件钱包的安全不能只由品牌规模、安全芯片或是否离线来衡量，更取决于关键代码能否得到持续独立审计，以及随机数生成、随机熵生成与传递流程（entropy flow）、固件依赖和编译环节等底层安全假设能否被持续验证。

从更广泛的行业角度看，此次事件并不意味着自托管模式失效，而是重新划定了“自托管安全”的边界。过去行业更强调“私钥是否掌握在自己手中”，Coldcard 事件则进一步提出了一个前置问题——“这把私钥是否由可信方式生成”。自托管降低了交易所或第三方托管机构的对手方风险，但同时也将部分风险转移到硬件设计、固件代码、密钥生成、备份恢复以及用户自身的安全管理体系。

对于长期存储大额资产的个人和机构而言，单一设备、单一厂商和单一 seed 来源也可能形成集中风险，多重签名（multisig）、不同厂商设备组合和独立随机性来源的重要性因此进一步上升。尤其对于机构级资产管理，自托管方案的安全评估可能需要从过去较为侧重“私钥是否离线”，进一步扩展至整条密钥生命周期，包括钱包种子生成、签名、备份、恢复和固件升级等环节。

后续仍需关注 Coldcard 实际受影响地址和最终损失规模、被盗资金流向，以及其他硬件钱包是否存在类似的随机数生成或固件依赖风险。Coldcard 事件的核心启示并不是“冷钱包不安全”，而是硬件钱包的安全模型不能停留在“设备离线、私钥不出设备”。随着个人与机构自托管资产规模扩大，从钱包种子生成到资产签名、备份与恢复的完整密钥生命周期，都需要成为可验证的安全边界。

2. 每周精选市场信号：

紧缩预期边际缓和，Crypto 资金向 ETF 与稳定币基础设施集中

传统市场：就业降温降低进一步紧缩压力，市场焦点重新转向通胀

上周美国市场的核心变量由企业盈利重新转向宏观数据。美国 7 月非农就业意外出现负增长，同时前两个月数据继续遭到下修，进一步强化了劳动力市场正在降温的判断。 但失业率同步下降，主要受到劳动参与率回落影响，因此当前就业市场更接近“招聘活动明显降温”，而尚未进入大规模裁员主导的衰退状态。

资料来源:TradingView

金融市场角度，首先交易的是进一步加息压力下降。就业市场的显著降温削弱了美联储在近期加息的动力，美债短端收益率回落，标普 500 指数创下新高。与此同时，能源价格仍然构成通胀端的不确定因素：截至周末，Brent 原油重新升至约 84 美元 / 桶，霍尔木兹海峡通航安排仍未完全落地。中国正倾向于利用资本市场为科技和人工智能产业提供资金支持。日本央行在 7 月会议摘要中指出，通胀上行风险正在增加。有委员明确表示，若潜在 CPI 通胀持续接近 2%，政策利率的升息步伐可能快于市场预期。

因此，本周的宏观很难简单遵循“弱就业→货币宽松”的逻辑，其逻辑更接近：就业降温降低了美联储短期继续收紧的紧迫性，但能源价格和基础通胀仍限制政策转向空间。

前后两周数据变化（图 1 为上周，图 2 为本周）

资料来源：CME FedWatchTool

这一点从 FedWatch 的最新定价也可以看得比较清楚。根据 8 月 10 日的 CME FedWatch 截图，市场预计 9 月 16 日会议：

• 53.9% 概率维持 3.50%–3.75% 不变；
• 46.1% 概率加息 25bp 至 3.75%–4.00%；
• 降息概率仍接近 0。

也就是说，7 月就业数据已经让市场从此前较强的加息预期明显回撤，但目前的讨论仍然是“后续加还是不加息”而非“何时降息”。

加密二级市场：ETF 买盘改善，但 BTC 仍未摆脱 6.5 万美元附近的震荡

数据来源：SoSoValue

截至发稿时，比特币重新接近 6.5 万美元，但仍未形成明显的趋势突破；以太坊则回升至约 1,919 美元。近期公开市场数据也显示，BTC 持续在 6.4 万—6.5 万美元附近反复，而 ETH 表现相对更强。

机构资金是本周 Crypto 市场最明确的积极信号之一。根据 SoSoValue 截至 8 月 7 日的周度数据，这是近期较明显的一次周度资金回流。从图表来看，5 月底至 6 月底曾经历连续数周大规模净流出，部分单周流出规模超过 10 亿美元；进入 7 月以后流出明显收敛，而 8 月第一周进一步出现接近 9 亿美元净流入。值得注意的是，ETH ETF 虽然规模远小于 BTC，但近数周已经连续维持小幅正流入，资金趋势较 5—6 月明显改善。

BTC 单周获得超过 8.5 亿美元资金净流入，却仍在 6.5 万美元附近震荡；ETH 也类似。这意味着 ETF 买盘目前更像是在吸收市场既有抛压，而尚未形成明显的供需失衡。

稳定币：总市值重新下降，主流链上美元同步收缩

数据来源：DeFiLlama

DeFiLlama 数据显示，稳定币总市值约 3006.09 亿美元，过去 7 天增加 6.44 亿美元，增幅约 0.21%。USDT 仍占绝对主导，市场份额达到 60.91%。稳定币市场并没有明显收缩，但也尚未出现广谱扩张。ETF 代表的 TradFi 配置资金明显改善，而 Crypto-native 美元流动性基本横盘，两者之间的分化仍然存在。

本周值得关注的大事件：

本周关注重点的事件集中在美国：

• 8 月 12 日：美国 7 月 CPI，在就业数据走弱的背景下，本次通胀数据或将成为决定美联储 9 月政策走向的核心指标之一。
• 8 月 13 日：美国 7 月 PPI
• 8 月 14 日：美国 7 月零售销售
• 持续关注霍尔木兹海峡通航及 Brent 原油价格
• 继续关注 Fed 官员对 7 月就业数据之后政策风险平衡的重新表态

原因在于 FedWatch 目前几乎正好位于“暂停 / 加息”五五开的状态。如果 CPI 继续回落，7 月就业走弱与通胀改善可以形成同方向信号，加息概率可能进一步下降；反之，如果 CPI 重新反弹，则就业边际转弱也未必足以阻止美联储继续收紧流动性。

一级市场融资观察：

数据来源：CryptoRank

近期一级市场资金依然是向“连接现实世界（RWA/ 支付）”与“合规基础设施”两个核心叙事靠拢，泛泛的纯应用类或无现金流支撑的协议融资难度显著加大。资本正聚焦于能够真正打通 TradFi 与 DeFi 壁垒、具备规模化潜力和造血能力的企业级服务提供商。

本周最大两笔公开融资都与支付 / 稳定币高度相关：其中，非洲最大的加密货币交易所及合规出入金通道 Yellow Card 完成了 4000 万美元的战略融资。日本合规稳定币 JPYC 完成 3,800 万美元 B2 轮融资。

资料来源：Yellow Card 官方

该笔大额融资具有较强的行业风向标意义，投资方包括渣打银行旗下 SC Ventures、Sony Innovation Fund，以及 Polychain Capital、Blockchain Capital 等加密基金。融资完成后，Yellow Card 累计股权融资超过 1.2 亿美元。相比融资金额本身，更值得关注的是其投资者结构：传统银行系资本、产业资本和 Crypto VC 同时进入同一轮融资，反映稳定币基础设施正在逐渐成为传统金融与 Crypto 资本共同关注的交叉领域。

Yellow Card 早期主要解决非洲用户买卖 Bitcoin 和数字资产的入口问题，但过去几年业务定位已经明显变化。2025 年，公司正式停止零售 App 业务，转向专注 B2B 与机构级稳定币基础设施；本轮融资也将主要用于扩大其全球美元账户业务，并继续拓展拉美和亚太市场。

通过 Yellow Card 的解决方案，企业可以在一个账户内持有美元和稳定币、进行稳定币财库管理，并通过当地支付网络在 50 多个国家收付款。公司披露其网络累计处理交易规模已超过 100 亿美元，并与 Visa、Mastercard、PayPal 和 Coinbase 等机构建立合作。

这种“合规通道 + 稳定币支付落地”的商业模式，不仅拥有清晰的盈利预期，也完美契合了当前机构资本对于大规模实际应用的投资偏好，代表了下一阶段 Web3 基建的核心演进方向之一。

整体看，资本仍愿意支持具备监管入口、现实资产现金流或明确 B2B 客户的项目，但对缺乏收入验证的通用协议和同质化应用继续保持谨慎。

关于 KuCoin Ventures

KuCoin Ventures 是 KuCoin 交易所的主要投资部门，KuCoin 是一家全球领先的加密货币交易所，深受 200 多个国家和地区、逾 4,000 万用户信赖。KuCoin Ventures 旨在投资 Web 3.0 时代最具颠覆性的加密和区块链项目，通过深刻的洞察力和全球资源，在财务和战略上支持加密和 Web 3.0 构建者。作为一个社区友好型且以研究为导向的投资者，KuCoin Ventures 在整个生命周期中与投资组合项目密切合作，重点关注 Web3.0 基础设施、人工智能、消费应用、去中心化金融和支付金融。

免责声明：本内容仅供一般市场资讯参考，可能包含来自第三方、商业或赞助来源的信息。本内容不构成任何法律意见或合规建议，亦不构成财务或投资建议、要约或招揽，亦不构成任何保证。我们不对其准确性、完整性或可靠性作出任何明示或暗示的陈述或保证，亦不对因使用本内容而产生的任何损失承担责任。投资及交易存在风险，过往表现不代表未来结果，用户应自行研究并谨慎判断，并自行承担全部风险。如有需要，请咨询专业法律、税务或财务顾问。