MPC钱包深度研究

2026 年 8 月 9 日 · 自托管与密钥安全观察
Coldcard 事件进入第二周，熵源出问题的那批固件已经不是新闻了，值得看的是钱往哪儿走。过去一周有两组数字同时出现，方向看起来相反。
先看链上。Glassnode 数据显示，过去一周约有 21 万枚 BTC 从长期持有者（LTH）钱包里流出，是 2024 年 12 月以来最大的一次下降。[2] Glassnode 把 LTH 定义为持币静默约 155 天、也就是五个多月的实体。[2] 这批供应量现在约 1470 万枚 BTC，事件前接近 1500 万枚，当时逼近历史高位。[2]
关键是 CoinDesk 明确提醒：链上转移不等于卖出。[2] 比特币现在在 6.4 万美元附近，比 10 月历史高点低约 50%。历史上 LTH 大规模动币通常出现在市场高位而不是低位，所以这一波更像保管方式的迁移，而不是信心崩塌。[2]
再看资金面。这里两家口径不一致，都列出来。
The Block 按 SoSoValue 数据统计，上周美国现货比特币 ETF 五个交易日连续净流入，合计约 8.535 亿美元，是 4 月中以来最好的一周；现货以太 ETF 同期净流入约 2.449 亿美元，同样是 4 月以来最佳，并且是连续第五周正流入。[1] 贝莱德 IBIT 一家占了比特币基金流入的 6.937 亿美元，超过总量的八成。[1]
Bitcoin Magazine 那篇用的是另一个统计窗口，按 Bitcoin For Corporations 的面板，七个交易日净流入 7.906 亿美元，其中 7 月 31 日是唯一一个净流出日，流出 2.127 亿美元。[7] 两个数字不冲突，是窗口和数据源不同，别混着引用。
归因这件事，专业分析师自己也留了余地。彭博 ETF 分析师 Eric Balchunas 说 IBIT、FBTC 和另外几只基金自事件后每天都有流入，"很难不在相关性里看到因果"。[1] 但 The Block 同时指出一个反证：Coldcard 的问题只影响特定的比特币冷存储设备，解释不了以太 ETF 为什么也在流入。[1] Bitcoin Magazine 的说法更保守：ETF 流向数据只能告诉你投资者做了什么，无法告诉你为什么。[7]
损失规模仍在往上修，各家口径不同。Galaxy Research 确认的被盗金额为 1.11 亿美元，并称"我们认为总损失很可能超过 1.3 亿美元"。[6] DefiLlama 的黑客追踪器给出的是 1.15 亿美元。[3] Galaxy Digital 另一处统计是三波确认攻击中至少 1 亿美元 BTC 被盗，涉及 7,300 个钱包。[3] 放到月度看，7 月全网被盗 2.474 亿美元，是 2026 年第二差的月份，仅次于 4 月的 6.44 亿美元，也是 6 月 7500 万美元的三倍多。[3]
受害者画像里有个细节值得单独说。Galaxy Research 的 Alex Thorn 分析了 250 份受害报告，被盗的币典型静默时长为 3.5 年，88% 的资金至少存放了一年以上。[6] 按人统计，单个受害者的损失中位数是 1.022 枚 BTC，均值 4.04 枚，最惨的一位丢了 58.97 枚。[6] 中招的是那批把币存起来就不再动的人——恰恰是安全操作规范里最被推荐的行为。
技术根因也比上周清楚了。从 2021 年 3 月发布的 4.0.1 版固件开始，设备用了 MicroPython 的 Yasmarang PRNG，而没有正确使用 STM32 的硬件随机数发生器。[4] Coinkite 自己估算，Mk2 和 Mk3 生成的种子约有 40 位熵，Mk4、Mk5 和 Q 约 70 位，而一个安全的 12 词助记词需要 128 位——两者都差得很远。[4]
行业层面的解读分两派。Blockaid CEO Ido Ben-Natan 把它称作加密行业的"原罪"：私钥的好处是别人进不来，难处是它构成单点故障。[5] 该公司报告称 2026 年上半年被盗资金中近 75% 源于私钥泄露。[5]
另一派的答案是把熵源拿回自己手里。那些用足够多次掷骰子而非依赖设备生成种子的用户，这次没有丢币；掷骰子是普通用户能自己审计的可见过程，而验证 TRNG 需要拆开电路检查加上审读固件。[4]
这两条路指向的是同一个问题的两个答案——单点故障要么靠"我自己看得见"解决，要么靠"不存在单一那一点"解决。
信息来源：[1] The Block 关于上周现货 ETF 资金流的统计（基于 SoSoValue 数据）；[2] CoinDesk 关于长期持有者供应变化的报道（基于 Glassnode 数据）；[3] Cointelegraph 关于 7 月被盗规模的报道（基于 DefiLlama 数据）；[4] Cointelegraph 关于熵源缺陷与掷骰子方案的专题；[5] The Block 对 Blockaid CEO 的访谈报道；[6] Bitcoin Magazine 关于受害者损失分布的报道（基于 Galaxy Research 数据）；[7] Bitcoin Magazine 关于 ETF 资金流的文章（该文由 Bitcoin For Corporations 委托撰写，引用时请注意）。
作者在做一款无助记词的 MPC 钱包，所以在这个题材上有立场。数据都给了出处，判断请自己做。
https://cowallet.ai/en?pid=jingle

8 Agustus 2026 · Observasi tentang self-custody dan keamanan kunci
Dini hari 30 Juli, penyerang mulai memindahkan bitcoin dari hardware wallet Coldcard. Gelombang pertama dalam 25 menit pertama memindahkan 594 BTC dari sekitar 500 wallet, saat itu bernilai sekitar 38 juta USD.[1] Galaxy Research mengategorikan aksi pengosongan ini dalam jendela 41 menit dari UTC 1:10 hingga 1:51, tersebar dalam sembilan blok.[5]
Itu baru permulaan. Hingga 5 Agustus, TRM Labs mengutip data pelacakan dari Galaxy: serangan gelombang keempat secara kumulatif memindahkan sekitar 1.816 BTC, mencakup lebih dari 5.200 alamat, dengan nilai saat itu mendekati 116 juta USD.[1] Ini adalah insiden serangan kripto skala besar terbesar ketiga pada tahun 2026, sekaligus membuat total nilai yang dicuri tahun ini menembus 1,2 miliar USD, dengan 276 kasus.[1]