Coldcard 被攻破　黑客自硬件錢包盜走 1,816 枚 BTC

本周區塊鏈及加密貨幣市場焦點如下（每周回顧）： 【Coldcard 漏洞：離線亦未必安全】 硬件錢包一向被視為最安全的比特幣保管方式，因為裝置不會連網。本周事件顯示，單靠"離線"仍不足以防禦：Coinkite 旗下 Coldcard 的問題出在"金鑰生成"本身。 調查指出，裝置的硬件隨機數產生器（RNG）被停用後，韌體改以較弱的替代來源生成隨機值，包括：微控制器序號、系統計數器，以及即時時鐘（RTC）寄存器。由於這些數值並非秘密，導致生成的私鑰可被推算。 受影響範圍為 2021 年 3 月起在 Mk2 至 Q 型號上建立的種子（seed）。攻擊者分多輪從逾 4,500 個地址轉走約 1,816 枚 BTC（約 1.16 億美元）。Coinkite 已發放修正版韌體、暫停出貨，並銷毀存在風險的庫存。不過，市場對公司以至硬件錢包整體的信心受挫。 相關：Coldcard 漏洞令受影響錢包的比特幣金鑰可被計算，迄今約 1,367 枚 BTC 已被轉出。 【美國參議院：加密市場法案押後至秋季】 美國《Digital Asset Market Clarity Act》（數碼資產市場清晰法案）未能趕及在夏季休會前表決。參議院多數黨領袖 John Thune 尚未安排終止辯論（cloture）投票，而法案距離通過所需的 60 票仍差約 10 票。 法案進程已拖延多時：眾議院在 2025 年 7 月以 294 票對 134 票通過文本；參議院相關委員會則在多次延誤後，於 2026 年 1 月及 5 月才完成跟進。內容上，數碼"商品"將由期貨監管機構 CFTC 主導，證券則維持由 SEC 監管。 目前主要阻力集中在三點：參議員 Ruben Gallego 與 Thom Tillis 要求禁止聯邦官員及其配偶持有自家代幣；Catherine Cortez Masto 認為反洗錢條文漏洞過多；Cory Booker 亦就農業委員會文本持續談判。參議院幕僚形容陷入僵局，較現實時間表為 9 月。 在此之前，市場主要依賴 SEC 與 CFTC 的解釋性指引，而該指引可被未來任何政府撤回。 相關：參議院未有在夏季休會前安排對 Clarity Act 的 cloture 投票，操守及反洗錢疑慮仍未解決。 【以太坊提案：逐步焚燒質押回報，目標將淨增發降至零】 在華盛頓就監管權爭拗之際，以太坊則在協議層面討論調整經濟規則。以太坊基金會研究員 Justin Drake 團隊提出"Tapered Issuance Burn"草案，主張分階段焚燒質押回報。提案自 7 月中旬提出，8 月初起在論壇展開討論。 按草案設計，當約 50% 的 ETH 供應量完成質押（約 6,025 萬枚 ETH）時，淨增發將降至零。目前約 4,000 萬枚 ETH 已存入，且共識層年化收益率約 2.62%。提案預計 18 個月逐步推出，屆時上述收益中僅約 1.2% 仍會保留。共同作者 Jérôme de Tychey 指出，若等到跨越門檻後才介入，需修正的失衡將更大。 反對聲音來自業內多方：批評者認為以太坊基金會未充分考慮對 DeFi 的連鎖影響；亦有人指出，現時質押運作成本不低，而在約 2.62% 的收益率下再削減回報，誘因將更弱。 相關：EIP 草案建議以太坊逐步焚燒質押回報，當 6,025 萬枚 ETH 進入驗證者集合後，淨增發降至零。 【Strategy：出售比特幣重整資本結構】 最大上市比特幣持有者之一 Strategy（前身 MicroStrategy）進一步減持。公司在 8 月初截至的一周內出售 1,638 枚 BTC，套現約 1.0473 億美元，平均售價為每枚 63,957 美元。 公司目前持倉為 842,138 枚 BTC，市值約 526 億美元；購入成本約 635 億美元，未實現虧損約 110 億美元。出售所得用於重整資產負債表：美元儲備增至 40 億美元，並以較票面值折讓 11% 回購 STRC 優先股。相關安排基於 6 月公布、規模 20 億美元的"Digital Credit Capital Framework"。 壓力亦反映在業績與股價：公司第二季錄得 82.2 億美元淨虧損，股價 12 個月內下跌 75%。行政總裁 Phong Le 形容，策略已由"累積資本"轉向"持續管理資本結構"。 相關：Strategy 出售約 1.0473 億美元的比特幣以配合資本重整，並發行 301 萬股新股及折讓回購 STRC 優先股。 【Mastercard：將穩定幣結算基建收歸自家】 Mastercard 於 8 月初完成收購穩定幣支付服務商 BVNK。交易作價 15 億美元，另設最高 3 億美元的績效對賭（earnouts），合計最高 18 億美元，成為迄今同類最大收購，金額高於 Stripe 以 11 億美元收購 Bridge 的交易。 BVNK 於 2021 年在倫敦成立，截至 2025 年底年化處理支付額約 300 億美元，覆蓋逾 130 個國家及地區，客戶包括 Worldpay、Deel 及 dLocal。對 Mastercard 而言，除交易量外，合規資質同樣關鍵：BVNK 持有歐盟電子貨幣（e-money）牌照，並於 2 月取得 MiCA 授權。 Mastercard 表示，相關技術將用於四個方向，涵蓋 B2B 支付、匯款及企業資金流等，並與 3 月推出的加密合作夥伴計劃，以及近期上線的 USDC、PYUSD、RLUSD 卡組織結算方案相互配合。 相關：Mastercard 完成收購 BVNK，交易最高 18 億美元，將強化其面向 B2B 的穩定幣基建。 想每逢周六在電郵收取每周回顧？可訂閱 CVJ.CH Newsletter（Email address：）。