8 則更新暴露比特幣安全風險
8 則比特幣更新一次看懂：交換服務、錢包、審計與政策如何在安全出問題時快速改變。
這週比特幣生態發生了什麼，哪些變化最值得先看？
這篇整理 8 則比特幣更新，重點是交換服務、錢包漏洞、審計結果與政策變化。
| 項目 | 關鍵數字 | 影響面 |
|---|---|---|
| Boltz | 暫停 swaps | Lightning 與 Liquid 之間的橋接風險 |
| Bitcoin Red Team | 4,962 項發現 / 390 專案 / 27.5 小時 | 整個比特幣技術堆疊的審計面很大 |
| Coldcard | 影響 MK2 到 Q 的部分版本 | 隨機數與 seed 生成風險 |
| Strategy | 賣出 1,638 BTC，約 1.047 億美元 | 企業金庫配置與市場壓力 |
1. Boltz 停止 swaps，橋接風險立刻浮現
訂閱 AI 趨勢週報
每週精選模型發布、工具應用與深度分析，直送信箱。不定期，不騷擾。
不會寄垃圾信，隨時可取消。
Boltz 暫停 swap 服務，原因是攻擊模式迭代得比修補還快。對使用者來說，這不是單一服務中斷而已，而是提醒大家：當 Lightning 和 Liquid 之間的非託管橋接出問題，路由、流動性與信任都會一起受影響。
Blockstream 隨後推出新的 swap 功能，等於把這次事件當成備援設計的提醒。Boltz 仍保留合作式退款與單邊退款的路徑，但前提是使用者要理解哪些流程不依賴同一套基礎設施。
- 服務狀態：swaps 暫停
- 退款：合作式與單邊退款仍可用
- 主要受影響族群：Lightning 與 Liquid 使用者
2. Bitcoin Red Team 把審計面畫得更清楚
這週最驚人的數字來自 Bitcoin Red Team：16 人在 27.5 小時內，掃出 4,962 項發現，涵蓋 390 個專案。這不只是找 bug，而是直接告訴大家，比特幣周邊基礎設施的安全面比多數人想的更大。
對開發者來說，重點不是只有核心協議。錢包、函式庫、橋接工具與周邊服務都在同一條風險鏈上，任何一段鬆動都可能傳到使用者端。
- 參與人數：16 位研究者
- 總發現數：4,962
- 高風險項目：85 個 critical、635 個 high
3. Coldcard RNG 漏洞成了最嚴重的錢包警訊
Coldcard 的問題之所以引爆討論，是因為它不是假設性漏洞。報告指出，受影響裝置的 seed 生成可能退回到可預測的軟體隨機數，代表最敏感的輸出從一開始就可能不夠強。已經產生的 seed 不會因為更新韌體而變安全。
因此，最直接的建議是立刻搬移資金，最好轉到一個用不同 entropy 來源重新建立的新錢包。這也再次說明，硬體錢包的安全不只是看品牌，而是看隨機數怎麼產生、怎麼驗證、怎麼分散風險。
- 受影響範圍：部分 Coldcard MK2 至 MK5、Q
- 核心風險：低熵 seed 生成
- 建議動作：轉移到新建立的錢包
4. 後續分析指出，單一錢包供應商不夠
幾篇後續文章把焦點放在流程失誤：小改動、弱審查、過度信任單一實作，會把問題放大成長期損害。換句話說，真正的修補不只是一版更好的韌體，而是不要讓整個錢包架構依賴同一條 entropy 路徑。
這也是 multisig 再度被提起的原因。混用不同廠牌的裝置，可以降低單一程式碼庫出錯就拖垮整個資產保管的機率。對習慣自行驗證的比特幣用戶來說，這比單純相信某個品牌更符合風險管理邏輯。
- 緩解方式：不同廠牌的 multisig
- 風險型態：可預測 seed 可能長期存在
- 操作重點：檢查隨機數流程，不只看介面
5. 俄羅斯與台灣都把監管往前推了一步
政策面同樣沒有放慢。俄羅斯公布新規，限制莫斯科及周邊地區的挖礦活動到 2032 年底，並同步發布數位貨幣與數位權利相關法規。台灣金融監督管理委員會也釋出訊號，要求加密平台在 10 月起處理新的客戶資訊傳輸規則。
這些動作代表兩種不同監管風格：一種是直接限制挖礦，一種是強化平台申報。對交易所、礦工與服務商來說，合規已經不是附屬工作，而是產品規劃的一部分。
- 俄羅斯：限制挖礦與礦池參與
- 台灣：平台轉移時的客戶資訊傳輸
- 日本：FSA 也加強反詐措施
6. BitMEX Research 收掉，長期資料來源少了一個
BitMEX 宣布將在 2026 年 9 月結束營運，也意味著 BitMEX Research 這個長年資料來源也要收尾。相關研究帳號已轉到 Farside，工具贊助則移交給 Localhost Research。
這不只是品牌更名。BitMEX Research 長期影響大家怎麼看比特幣市場結構、鏈上行為與交易所資金流。當熟悉的資料來源換手，讀者就要重新確認方法論、覆蓋範圍與背後誘因有沒有改變。
7. Cloudflare Wallets 與 x402 指向代理人支付
Cloudflare 推出 Wallets，讓 AI 代理人可以付款、驗證身分，並處理 API 使用費。另一方面，Glassnode 也表示會把 x402 協議整合進鏈上資料目錄。兩者合在一起看，代表機器對機器的支付需求正在成形，而且需要可驗證、可計費、可追蹤的流程。
即使這些工具不是原生比特幣產品，仍值得關注。當支付、API 與資料存取開始為代理人設計，未來很可能再和比特幣基礎設施接上，尤其是在結算與身份驗證交會的地方。
- Cloudflare：代理人付款與身分驗證
- Glassnode：x402 整合到資料目錄
- 趨勢：機器到機器的支付與授權
8. Strategy 賣幣，金庫操作也成了觀察點
Strategy 表示賣出 1,638 枚 BTC，約 1.047 億美元。這提醒市場：就算是最受關注的企業比特幣持有者，也會在資產負債表壓力或市況變化下調整部位。
對看金庫策略的人來說，重點不只是公司持有多少 BTC，而是何時買、何時減碼，以及這些動作如何配合融資決策。這週安全新聞很多，但這則補上了資本配置的角度。
哪種讀者先看哪一項
如果你最在意使用者資產安全，先看 Coldcard 和 Bitcoin Red Team。前者是實際可能造成損失的錢包風險，後者則把整個技術堆疊的審計缺口攤開來看。
如果你在做基礎設施或支付產品，Boltz、Blockstream 和 Cloudflare Wallets 這三項最有參考價值。若你的工作偏政策、研究或市場結構，俄羅斯、台灣、BitMEX Research 與 Strategy 會更接近你需要追的變化。