Coldcard 事件之后，比特币究竟流向了哪里

要点速览

Coldcard 事件之后，确实有比特币回流到了交易所。CryptoQuant 的数据显示，2026 年 7 月 31 日交易所净流入 11,163 枚比特币，分别流向 Binance、River、Kraken 和 OKX。
散户的转账规模达到了 FTX 崩盘时的水平。单笔小于 1 枚比特币的转账当天合计达 39,600 枚，距离 2022 年 11 月 16 日、也就是 FTX 申请破产次日的 39,900 枚只差一点。
但「持币者纷纷逃回交易所」这个说法只讲了一半。链上分析发现，这一轮资金中相当大的一部分，流向的是用户自己新生成的钱包，而不是交易所的充值地址。
同一周，美国现货比特币 ETF 净流入约 6.2 亿美元。不过彭博 ETF 分析师 Eric Balchunas 说得很直接：这两件事之间的关联并未被证实，没有人知道。
问题出在熵（Entropy），而不是有人破门而入。2021 年的一次固件改动，把部分机型新生成助记词（Recovery Phrase）时的随机取值范围压缩到了约 40 位，而设计目标是 128 位。攻击者从头到尾没有碰过任何一台设备。
真正保住资产的是掷骰子和密语（Passphrase），而不是设备上印的牌子。凡是自己补充过随机性、或者设置了密语的用户，都没有受到影响。
SIAMBC 不销售 Coldcard。这篇文章不是为了推销替代产品而做的对比，而是把资金实际流向读清楚，并说明其中真正的教训。

先简单回顾发生了什么

2026 年 7 月 30 日，Coldcard 的制造商 Coinkite 披露了一个可追溯至 2021 年 3 月的固件缺陷。问题出在公司把固件迁移到 Bitcoin Core 加密库的那次改动上：生成助记词时，程序最终调用的是一个可预测的软件随机数发生器，而不是芯片上的硬件随机数发生器。

结果是，可能生成的助记词范围被压缩到 Mk2 与 Mk3 上的约 40 位、Mk4、Mk5 与 Q 上的约 72 位，而设计目标是 128 位。在 40 位这个量级上，把所有可能穷举一遍是一台普通电脑就能完成的工作。攻击者因此完全不需要接触设备，只要在自己的机器上运行同样有缺陷的随机数逻辑，推导出这些助记词对应的地址，再查哪些地址里有钱即可。

损失金额仍在上升，且不同来源、不同日期给出的数字并不一致。目前各方报道的区间大致是 1,600 至 1,800 枚比特币，约合 1 亿至 1.3 亿美元，涉及数千个地址，其中接近一半的价值是在最初 41 分钟内被转走的。

关于技术细节，SIAMBC 已经写过一篇完整说明，涵盖受影响机型、固件版本号以及应当按什么顺序处理，可参见Coldcard 漏洞详解。本文不再重复，而是把重点放在事件之后发生了什么。

钱究竟流向了哪里

比漏洞本身更值得看的，是接下来一周里持币者的实际行为，而这些行为在链上是可以被量化的。

流向交易所。CryptoQuant 与 Timechainindex 的数据显示，2026 年 7 月 31 日交易所净流入 11,163 枚比特币，其中大部分进入 Binance、River、Kraken 和 OKX。

散户的转账量冲到了危机级别。CryptoQuant 报告称，单笔小于 1 枚比特币的转账在当天合计达到 39,600 枚，接近 2022 年 11 月 16 日、即 FTX 申请破产次日的 39,900 枚。这个对照最能说明当时的恐慌程度。

流向 ETF。美国现货比特币 ETF 在事发当周录得约 6.2 亿美元净流入，分散在 IBIT、FBTC、ARKB 等多只基金上。

以及流向用户自己新建的钱包。这一项恰恰是多数标题没有提到的。链上分析显示，那些长期未动的地址中，有相当大一部分资金转入的是用户自己新生成、私钥仍由自己掌握的钱包，而不是交易所的充值地址。这种特征更符合「把资产挪到安全的地方」，而不是「抛售」或者「放弃自托管」。

为什么那个标题不够完整

不少海外媒体把这件事概括为持币者纷纷逃回交易所。这个说法对其中一部分资金成立，但用来概括全局就有误导性。

第一，资金并没有流向同一个地方，而是至少分成了三路：交易所、ETF，以及用户自己新建的钱包。链上分析指向的是最后一类占比不小，而那并不是放弃自托管，恰恰是厂商建议受影响用户去做的事情，也就是在修复后的固件上重新生成助记词，并把资产从旧的那套里转出来。

第二，ETF 与本次事件的关联并未被证实。彭博 ETF 分析师 Eric Balchunas 明确表示自己并不是在断言两者相关，没有人知道答案，同时他也认为长期来看确实可能有一部分用户会迁移过去。任何一周内，资金因为多种市场原因同时流入和流出 ETF 都是常态。两个数字出现在同一周，并不足以证明其中一个导致了另一个。

第三，危机期间的流入并不等于资金会留在那里。在实际操作层面，当你必须在几个小时内把资产从一套不安全的助记词里转出来时，交易所是最快能用上的一个落脚点，这个选择完全可以理解。真正的问题是：这笔钱之后还会不会留在那儿。

把币搬回交易所，理性吗

短期来看，是理性的。得知自己的助记词可能被反推出来的人，留给自己的时间不多，需要一个能马上用的地方安置资产。转进一个自己本来就有的交易所账户，比等一台新设备寄到要快得多。

但如果把它当成长期答案，那就只是把一组风险换成了另一组，并没有把风险降下来。

Coldcard 的这个缺陷是单一厂商的一次失误，它被公开披露、有修复固件发布、也有办法让用户自行确认设备是否受影响。而把资产交给第三方保管所带来的风险，是外部根本无从查验的。

泰国自己就有一个现成的例子。Bitkub 在 2021 年遭到网络攻击，损失约 17 亿泰铢，而客户在整整五年里对此一无所知，直到泰国证券交易委员会在 2026 年 7 月底对该公司及两名前董事提出指控。相比之下，Coldcard 的用户在几小时内就知道了情况，并且可以立刻自查。这个差别值得放在天平上称一称。

关于这一点我们写过一篇更完整的分析，见把加密货币放在交易所到底行不行。结论是两种做法可以并存：在有牌照的交易所买卖，持有期间则把资产放在自己掌控的钱包里。