Coldcard錢包爆熵值漏洞 比特幣(BTC)現貨ETF資金同步轉為淨流出

比特幣(BTC)自我保管的安全爭議，因硬體錢包「Coldcard」的種子（seed）生成缺陷再度升溫。同一時間，美國比特幣現貨ETF資金在8月初出現淨流入後，又迅速轉為淨流出，讓「自我保管」與「透過上市商品持有曝險」這兩種路徑被放在一起比較。

Coldcard製造商Coinkite於7月30日發布安全公告指出，部分版本Coldcard生成的種子可能受影響。受影響範圍包括Mk2、Mk3機型4.0.1至4.1.9版韌體，以及Mk4、Mk5、Q機型在修正版本推出之前生成的種子。Coinkite並說明，既有種子無法單靠升級韌體修復，需要用戶另外處理。

這次事件的核心，並非私鑰在線上直接外洩，而是「種子生成過程的隨機性」被削弱。Coinkite表示，部分在Mk4、Mk5、Q上生成的種子，「熵值」只有約72位元，遠低於原本應有的128位元水準。若用戶曾額外投擲骰子50次以上，或設定了強度足夠的BIP-39密碼短語，則可視為已有保障。

種子是能夠復原整個錢包的關鍵字串，熵值則代表這串字被猜中的困難程度，數值越低，攻擊者能夠嘗試的組合範圍就越小。評論：硬體錢包的設計前提是離線保管，但如果生成種子這一步本身出包，等於從根本動搖了「自我保管比較安全」的假設，這也是這次事件受到高度關注的原因。

各家對受害規模的說法並不一致。Decrypt報導初期損失約594枚BTC，價值約3800萬美元。而Techmeme整理的CoinDesk報導，引用Galaxy Research的估算，指損失已擴大至逾1000枚BTC、超過7000萬美元。部分原始報導標題提到的1.16億美元規模，與交叉比對的資料並不吻合，應審慎看待。

對讀者而言，這起事件再次提醒「自我保管」的一體兩面：不把BTC放在交易所，能降低第三方風險，但硬體、韌體與種子管理的責任，最終都落在用戶自己身上。本站先前已報導Coldcard洩露事件後，市場對分散保管方式的討論明顯增加。

另一方面，根據Farside Investors 14日公布的資料，美國比特幣現貨ETF在8月3日至7日分別淨流入1.701億美元、2.115億美元、2.444億美元、1.376億美元、1.017億美元，五個交易日合計淨流入8.653億美元。

不過這股資金動能很快出現反轉。8月10日至13日，ETF分別為淨流出1.446億美元、淨流入780萬美元、淨流出6110萬美元、淨流出1.311億美元。目前並沒有證據能直接證明，自我保管方面的疑慮與ETF資金流向之間存在因果關係。

機構資金的進出與個人保管方式的爭論，其實運作在不同的市場結構上。自我保管是用戶親自掌握私鑰、同時自行承擔操作風險；ETF則是透過發行商與託管機構取得價格曝險。這一週，兩種路徑的優缺點恰好同時被攤在陽光下檢視。

企業動態方面，Strategy(MSTR)與萊特平台(Riot Platforms, RIOT)的舉動也受到關注。Strategy執行長Phong Le在福斯商業（Fox Business）訪談中透露，公司今年內有可能再度加碼買進比特幣。The Block報導指出，Strategy在近期小規模出售BTC之後，仍維持長期買方的立場；不過確切的加碼時間與數量，目前僅止於受訪發言與媒體報導，並未透過正式文件揭露。

本站先前曾報導Strategy在6月29日至7月5日期間出售3588枚BTC，籌得2.16億美元，資金用於支付優先股股息與補充美元儲備，當時也引發市場對其比特幣財務策略的討論。這次關於再加碼買進的發言，可視為同一場討論的延續。

萊特平台則在7月28日公告第二季財報電話會議時間，再次確認公司「大型資料中心」與「比特幣挖礦」並行的業務模式。Investopedia報導，萊特平台簽下一份為期20年、總額91億美元的合約，供應191MW運算電力；報導引用彭博社（Bloomberg）消息，指合作對象為AI公司Anthropic。

川普媒體科技集團(Trump Media & Technology Group, DJT)則於7月16日向美國證券交易委員會（SEC）提交新聞稿公開文件。美聯社（AP）報導，公司第二季虧損達2.38億美元，並轉向縮減包括線上博弈與加密貨幣在內的部分新業務擴張計畫。

整體來看，這一週加密貨幣產業的動向很難用單一事件概括，比較像是「保管方式」「上市商品」「企業財務策略」「AI基礎建設轉型」四條線同時在推進。目前可確認的事實包括：Coldcard種子生成缺陷、ETF資金短期內大幅波動、Strategy釋出再加碼買進的訊息、萊特平台擴大資料中心業務，以及川普媒體單季出現虧損。