KuCoin Ventures 在最新周报中表示，Coldcard 硬件钱包漏洞已经成为今年影响较大的个人自托管安全事件之一。报告认为，这起事件冲击的不只是用户资产安全，也动摇了市场对「安全优先」型硬件钱包的信任基础，因为漏洞出现在最底层的钱包 seed 生成环节。
Coldcard 漏洞焦点落在随机数缺陷
周报称，Coldcard 是加拿大比特币安全公司 Coinkite 自 2017 年推出的 Bitcoin-only 硬件钱包，主要面向高级自托管和安全敏感用户，主打物理隔离签名、可验证固件以及更严格的离线密钥管理。与 Ledger、Trezor 等面向更广泛市场的品牌相比，Coldcard 并不是市场份额最高的产品，公开资料中也没有可核验的销量或市占率数据。
但正因为 Coldcard 长期以安全性和更小攻击面作为卖点，这次漏洞的意义不止是资产被盗。报告指出，与交易所遭攻击、智能合约漏洞或用户私钥泄露不同，本次问题源于钱包生成 seed 时的随机数缺陷。
根据周报援引的分析，2021 年 3 月的一次固件更新发生集成错误，导致部分 Coldcard 设备在生成钱包种子时，未能按设计从硬件随机数生成器获取足够随机性，而是进入可预测的软件随机数路径。Block Engineering 的分析显示，部分受影响设备生成钱包种子时的有效随机强度，可能由正常约 128 bits 降到最低约 40 bits。报告称，在这种情况下，攻击者即便不接触设备、不获取备份、也不让钱包联网，仍可能通过计算枚举潜在 seed，并与公开的比特币地址匹配。
周报提到，这一漏洞自 2021 年潜伏超过五年，直到今年 7 月 30 日开始被集中利用。不同链上追踪机构给出的损失规模仍有差异。TRM Labs 截至 8 月 5 日追踪到约 1,816 BTC、超过 5,200 个地址被盗，按当时价格计算约 1.16 亿美元；Galaxy Research 在 8 月 7 日将累计损失估计提高至约 1.3 亿美元，并认为至少有十余名独立攻击者参与多轮资金转移。
离线冷存储并未失效，问题出在种子生成起点
报告特别强调，部分受影响用户采用的正是硬件钱包最典型的离线冷存储方式，设备本身并未联网。此次攻击并不是突破了钱包的物理隔离，而是用于控制资产的钱包种子从生成时就缺乏足够随机性。
周报指出，硬件钱包通常通过物理隔离、安全芯片和离线签名来降低私钥接触网络环境的风险，但这些机制都建立在一个更基础的前提上：生成钱包种子的随机数本身必须不可预测。只要这一前提失效，即使私钥从未离开设备，后续的网络隔离也无法弥补密钥生成阶段留下的缺口。
事件发生后，Coinkite 已发布安全公告和修复固件。但报告提醒，升级固件只能避免未来新生成的钱包 seed 再出现同类问题，无法增强此前已经生成的弱 seed。因此，受影响用户仍需要在修复后的环境中重新生成钱包 seed，并迁移资产。
Coinkite 同时表示，如果用户此前在生成 seed 时加入了足够的独立实体骰子随机性，或设置了高强度的 BIP-39 附加密码，实际风险可能明显降低。
硬件钱包安全评估正在从「是否离线」转向底层审计
KuCoin Ventures 认为，Coldcard 事件提出了一个更深层的问题：更大的硬件钱包厂商是否就能避免类似错误。报告称，相比 Coldcard，Ledger、Trezor 等头部厂商确实拥有更大的用户规模和研发资源，但厂商规模本身并不能消除底层安全风险。
报告指出，Coldcard 并不是设计简单的低端产品。它采用 Bitcoin-only 路线、公开固件代码，并支持物理隔离操作，理论上本就是为了减少攻击面；但随机数生成缺陷仍在公开代码中潜伏多年，直到真实资金被盗后才被广泛关注。
在这种背景下，周报判断，硬件钱包的安全不能只由品牌规模、安全芯片或是否离线来衡量，更取决于关键代码能否得到持续、独立的审计，以及随机数生成、随机熵生成与传递流程、固件依赖和编译环节等底层安全假设，是否能够被持续验证。
从行业角度看，报告并未将这起事件解读为自托管模式失效，而是认为它重新划定了「自托管安全」的边界。过去行业更关注「私钥是否掌握在自己手中」，而 Coldcard 事件把问题前移到了「这把私钥是否由可信方式生成」。
周报认为，自托管降低了交易所或第三方托管机构的对手方风险，但也把一部分风险转移到了硬件设计、固件代码、密钥生成、备份恢复以及用户自身安全管理体系上。
对于长期存储大额资产的个人和机构，报告提到，单一设备、单一厂商和单一 seed 来源都可能形成集中风险，因此多重签名、不同厂商设备组合和独立随机性来源的重要性正在上升。尤其对机构级资产管理而言，自托管安全评估可能需要从过去较为侧重「私钥是否离线」，扩展到整条密钥生命周期，包括钱包种子生成、签名、备份、恢复和固件升级等环节。
周报称，后续仍需关注 Coldcard 实际受影响地址和最终损失规模、被盗资金流向，以及其他硬件钱包是否存在类似的随机数生成或固件依赖风险。报告给出的核心启示不是「冷钱包不安全」，而是硬件钱包的安全模型不能停留在「设备离线、私钥不出设备」。
美国就业降温，市场交易逻辑回到通胀与政策路径
在宏观部分，KuCoin Ventures 表示，上周美国市场的核心变量由企业盈利重新转向宏观数据。美国 7 月非农就业意外出现负增长，前两个月数据也继续遭到下修，强化了劳动力市场正在降温的判断。
不过，失业率同步下降，主要受到劳动参与率回落影响。报告认为，当前就业市场更接近于「招聘活动明显降温」，尚未进入由大规模裁员主导的衰退状态。
从金融市场表现看，最先被交易的是进一步加息压力下降。周报称，就业市场明显降温削弱了美联储近期加息的动力，美债短端收益率回落，标普 500 指数创下新高。
但能源价格仍然是通胀端的不确定因素。截至周末，Brent 原油重新升至约 84 美元/桶，霍尔木兹海峡通航安排仍未完全落地。报告还提到，中国正倾向于利用资本市场为科技和人工智能产业提供资金支持；日本央行在 7 月会议摘要中指出，通胀上行风险正在增加，有委员明确表示，若潜在 CPI 通胀持续接近 2%，政策利率的升息步伐可能快于市场预期。
基于这些变量，周报认为，本周宏观环境很难简单套用「弱就业=货币宽松」的单线逻辑，更接近于：就业降温降低了美联储短期继续收紧的紧迫性，但能源价格和基础通胀仍限制政策转向空间。
根据 8 月 10 日的 CME FedWatch 截图，市场对 9 月 16 日会议的定价为：
- 53.9% 概率维持 3.50%–3.75% 不变；
- 46.1% 概率加息 25bp 至 3.75%–4.00%；
- 降息概率仍接近 0。
周报据此指出，7 月就业数据已经让市场从此前较强的加息预期明显回撤，但当前讨论仍然停留在「后续加还是不加息」，而不是「何时降息」。
ETF 资金回流改善，但 BTC 仍在 6.5 万美元附近震荡
在加密二级市场方面，报告称，截至发稿时，比特币重新接近 6.5 万美元，但仍未形成明显趋势突破；以太坊回升至约 1,919 美元。公开市场数据也显示，BTC 持续在 6.4 万—6.5 万美元附近反复，而 ETH 表现相对更强。
报告认为，机构资金是本周 Crypto 市场最明确的积极信号之一。根据 SoSoValue 截至 8 月 7 日的周度数据，这是近期较明显的一次周度资金回流。图表显示，5 月底至 6 月底曾出现连续数周大规模净流出，部分单周流出规模超过 10 亿美元；进入 7 月后，流出明显收敛，而 8 月第一周进一步出现接近 9 亿美元净流入。
周报特别提到，ETH ETF 虽然规模远小于 BTC，但近数周已经连续维持小幅正流入，资金趋势较 5—6 月明显改善。
不过，BTC 单周获得超过 8.5 亿美元资金净流入，却仍在 6.5 万美元附近震荡；ETH 的情况也类似。报告判断，这意味着 ETF 买盘目前更像是在吸收市场既有抛压，尚未形成明显的供需失衡。
稳定币总市值约 3006.09 亿美元，链上美元流动性仍偏横盘
稳定币部分，周报援引 DeFiLlama 数据称，稳定币总市值约 3006.09 亿美元，过去 7 天增加 6.44 亿美元，增幅约 0.21%。USDT 仍占绝对主导，市场份额达到 60.91%。
报告认为，稳定币市场并没有明显收缩，但也尚未出现广谱扩张。ETF 所代表的 TradFi 配置资金改善明显，而 Crypto-native 美元流动性基本横盘，这种分化仍然存在。
本周市场关注 CPI、PPI、零售销售与油价变量
周报列出的本周重点事件主要集中在美国：
- 8 月 12 日：美国 7 月 CPI；
- 8 月 13 日：美国 7 月 PPI；
- 8 月 14 日：美国 7 月零售销售；
- 持续关注霍尔木兹海峡通航及 Brent 原油价格；
- 继续关注 Fed 官员在 7 月就业数据之后对政策风险平衡的重新表态。
报告解释称，原因在于 FedWatch 目前几乎正处于「暂停/加息」五五开的状态。如果 CPI 继续回落，7 月就业走弱与通胀改善将形成同方向信号，加息概率可能进一步下降；如果 CPI 重新反弹，就业边际转弱也未必足以阻止美联储继续收紧流动性。
一级市场融资继续集中于支付、RWA 与合规基础设施
在一级市场部分，KuCoin Ventures 表示，近期资金仍在向「连接现实世界」与「合规基础设施」两个核心叙事靠拢，RWA、支付相关方向受关注度较高，而泛应用类或缺乏现金流支撑的协议，融资难度明显上升。
周报称，本周最大两笔公开融资都与支付或稳定币密切相关。其中，非洲最大的加密货币交易所及合规出入金通道 Yellow Card 完成 4000 万美元战略融资；日本合规稳定币 JPYC 完成 3800 万美元 B2 轮融资。
报告指出，Yellow Card 这笔融资具有较强的行业风向标意义。投资方包括渣打银行旗下 SC Ventures、Sony Innovation Fund，以及 Polychain Capital、Blockchain Capital 等加密基金。融资完成后，Yellow Card 累计股权融资超过 1.2 亿美元。
相比融资金额本身，周报更关注投资者结构。传统银行系资本、产业资本和 Crypto VC 同时出现在同一轮融资中，反映出稳定币基础设施正逐渐成为传统金融与加密资本共同关注的交叉领域。
报告还提到，Yellow Card 早期主要解决非洲用户买卖 Bitcoin 和数字资产的入口问题，但过去几年业务定位已经明显变化。到 2025 年，公司正式停止零售 App 业务，转向专注 B2B 与机构级稳定币基础设施；本轮融资也将主要用于扩大其全球美元账户业务，并继续拓展拉美和亚太市场。
根据公司披露，通过 Yellow Card 的解决方案，企业可以在一个账户内持有美元和稳定币、进行稳定币财库管理，并通过本地支付网络在 50 多个国家收付款。公司称其网络累计处理交易规模已超过 100 亿美元，并与 Visa、Mastercard、PayPal 和 Coinbase 等机构建立合作。
KuCoin Ventures 认为，这种「合规通道 + 稳定币支付落地」的商业模式，拥有较清晰的盈利预期，也契合当前机构资本对大规模实际应用的投资偏好。整体来看，资本仍愿意支持具备监管入口、现实资产现金流或明确 B2B 客户的项目，但对缺乏收入验证的通用协议和同质化应用继续保持谨慎。
关于 KuCoin Ventures 与免责声明
周报介绍，KuCoin Ventures 是 KuCoin 交易所的主要投资部门。KuCoin 被描述为一家全球加密货币交易所，服务覆盖 200 多个国家和地区，拥有逾 4000 万用户。KuCoin Ventures 表示，其重点投资 Web 3.0 时代具颠覆性的加密和区块链项目，并在财务和战略层面支持加密和 Web 3.0 构建者，关注方向包括 Web3.0 基础设施、人工智能、消费应用、去中心化金融和支付金融。
报告同时附带免责声明称，相关内容仅供一般市场资讯参考，可能包含来自第三方、商业或赞助来源的信息，不构成法律意见、合规建议、财务或投资建议，也不构成任何保证。内容还提示，投资及交易存在风险，过往表现不代表未来结果，用户应自行研究并谨慎判断。