每周研究简报：CLARITY法案受挫，SEC急于行动

研究 • 2026年8月14日

每周研究简报：CLARITY 法案遇挫，SEC 匆忙应对

欢迎阅读 Galaxy Research 的每周热门报道。 订阅 即可每周五早上在收件箱中收到这份新闻通讯。

本周，Alex Thorn 向读者介绍了涉及逾 1.3 亿美元的 Coldcard 黑客攻击事件；Alex 分析了 SEC 和 CFTC 在《CLARITY 法案》命运未卜的情况下为制定明确规则所采取的步骤；Will Owens 则对失败的比特币提案 BIP-110 进行了事后剖析。

对本新闻通讯有反馈？请发送邮件至 research@galaxy.com 。我们期待你的来信。

CLARITY 法案通过几率走低，监管机构匆忙应对

随着 2026 年 CLARITY 法案通过几率 逐渐走低 ，美国证券交易委员会（SEC）一度 准备 推出重大豁免规则以稳妥促进 crypto 创新，但后来却打了退堂鼓。

SEC 本周原本计划公布两项外界期待已久的监管豁免：其一是 Reg Crypto，将为 crypto 资产向公众进行一级发行开辟新的路径；其二是创新豁免（Innovation Exemption），将允许代币化证券在去中心化金融中进行二级交易。彭博社曾在 5 月报道称 SEC 即将公布这些豁免规则，但在传统证券业的强烈反对下，该机构随后又退缩了。周二的新报道暗示这些豁免即将出炉，但随后 Eleanor Terret 报道称创新豁免再次被推迟，SEC 似乎又一次打了退堂鼓。周四晚间，SEC 发布了一份关于原计划周五举行的公开会议的通知，据信该会议与 Reg Crypto 有关。

商品期货交易委员会（CFTC）也在积极行动，以巩固其对预测市场合约的管辖权——该机构认为，这些合约属于《商品交易法》项下的掉期交易。本周，CFTC 发布了一项紧急命令，试图推翻纽约州总检察长 Letitia James 为获得全国性临时限制令所做的努力——该限制令旨在阻止 Kalshi 提供事件合约（不仅限于体育博彩：James 试图阻止该公司提供涉及“文化、选举以及其他事件”的交易，着重号为笔者所加）。在这轮最新攻势之前，预测市场平台、美国各州与 CFTC 之间已缠斗数月——诉讼有的涉及一般性事件合约，有的聚焦于体育相关合约，但核心都指向州与联邦对这些市场的管辖权之争。

5 月，参议院银行委员会成功完成了对 CLARITY 法案的跨党派审议，此后该法案在 8 月休会（8 月 7 日开始）前获参议院通过的可能性一度攀升。但随着时间的推移，多个因素阻碍了该法案的进展。首先，加强对政府官员参与 crypto 活动的道德管控这一问题——此前在委员会审议过程中一直被搁置——再度浮出水面，尽管两党付出了大量努力，仍未能解决。其次，来自银行（尤其是社区银行）的压力不断加大，连一些共和党人对该法案的支持也出现了倒退。第三，打击非法金融的鹰派人士不断呼吁进一步削弱《区块链监管确定性法案》（BRCA）中的开发者保护条款，这些呼声如同幽灵般笼罩在谈判之上。不过，一些执法团体在后期对该问题的态度有所缓和，这似乎缓解了人们对该问题可能使法案脱轨的担忧。所有这些因素使参议院多数党领袖 John Thune（共和党，南达科他州）难以聚齐克服阻挠议事所需的 60 票。随着日程推进、8 月休会期临近，他最终拒绝安排表决。直到工作期行将结束时，Thune 参议员才终于为对该法案的首次投票发出“预告”，这意味着参议院计划在 9 月中旬休会结束后对 CLARITY 法案进行投票。

我们的观点

现实情况是，CLARITY 如今更多是政治问题，而非政策问题。该法案内容极为全面，涵盖注册与许可要求、服务提供商的新增合规责任、政府新增的监控与制裁权力、为保护消费者而对法律法规进行的大量澄清，以及众多其他旨在促进美国领导力、投资者保护和监管清晰度的条款。但眼下这些都无关紧要。

即便不考虑银行在稳定币收益问题上的游说，也不提“非法活动”问题的暗流涌动，单就道德管控问题而言，如果没有达成明确协议——一个两党参议员小组已于 7 月 30 日（周四）将该问题提交白宫，但白宫始终未作公开回应——参议院就很难凑齐 60 票。指望参议院 9 月复会时就该法案进行投票，即便谈不上不切实际，也显得过于乐观。这不仅是因为上述问题仍未解决，还因为 9 月的“会期”只有 2 到 3 周：参议院将于 9 月 14 日复会，大约在 10 月 2 日休会，以投入中期选举相关活动。现实情况是，除非议员们一返回华盛顿就几乎立即就“程序动议”进行投票，否则 CLARITY 法案要想在参议院获得通过，就必须占据几乎整个工作会期。基于这些原因，我们将 CLARITY 法案在 2026 年通过的概率下调至 10%。

与此同时，SEC 距离正式推出 Reg Crypto 和“创新豁免”（其特点是反复启动又反复停滞）已非常接近，这对 CLARITY 法案以及特朗普总统剩余任期内的 crypto 政策都具有启示意义。首先，SEC 此前推迟对 Reg Crypto 和创新豁免采取行动，至少在一定程度上很可能是为了避免干扰 CLARITY 法案的政治进程。如今 CLARITY 法案陷入停滞，委员会却明显接近就这些事项采取行动，这或许表明他们已经意识到该法案通过的可能性已大幅降低。请注意，Reg Crypto 与 CLARITY 法案第一章实质相关，而创新豁免则与第 10505 条直接重叠。

如果说参议院的谈判可能一直在拖延委员会公布 Reg Crypto 和创新豁免，那么还有其他因素从另一个方向推动该机构采取行动。首先，专员 Hester Peirce 计划于 11 月卸任（法律规定她必须在第 119 届国会任期结束前卸任），鉴于她在这些问题上长期而深入的投入，不难想象委员会希望在她离任前发布这些里程碑式的举措。其次，也是更重要的一点，委员会需要时间推进这些举措。尤其是创新豁免，很可能会被设计成一个限时沙盒，让发行方尝试代币化证券的链上交易，其结果很可能为该主题的规则制定提供参考。沙盒中市场活动的授权与开展，以及由此引发的规则制定，都极有可能导致市场参与者（尤其是传统金融利益相关方）与委员会之间产生大量诉讼。将这些概念从政策构想推进为正式规则很可能需要数年时间，因此委员会需要尽快着手。委员会的紧迫感是合理的，我们对此表示赞赏，但两股相互拉扯的压力——一是希望在本届总统任期内推进 crypto 规则制定，二是面临 CLARITY 法案的阻力和传统证券业的强烈反对——共同导致了这一推出过程的断断续续。

CLARITY 法案仍有可能通过，但我们已完全进入“需要变戏法”的阶段——如果它要在 2026 年通过，我们需要魔法。不过，无论 CLARITY 法案势头如何、结果怎样，我们现在预计委员会将在未来几周或一两个月内公布 Reg Crypto、创新豁免或两者的文本。这再次提醒我们，即使没有 CLARITY，crypto 行业也即将迎来令人振奋的时代和积极的监管环境。—— Alex Thorn

🫆 Coldcard 漏洞攻击趋缓，总损失攀升至（至少）1,700 BTC

利用 Coldcard 硬件钱包漏洞实施攻击的新事件已有所减少，但随着新受害者陆续现身，损失总额仍在持续攀升。

Galaxy Research 目前已与 190 名受害者取得直接联系，他们的报告让我们得以高置信度地确认，已有 1,778.84 BTC（约 1.127 亿美元）从超过 8,600 个地址中被盗走。值得注意的是，这一数字并不包括几组中等置信度的疑似被盗集合，例如仍未经确认的“第 4 波”。若将这些候选攻击痕迹以及疑似存在但未经确认的第 4 波计算在内，损失总额将升至 2,417.35 BTC（1.53 亿美元）。

背景介绍：Coldcard 是一款硬件钱包，主要被出于理念认同的散户比特币持有者用于冷存储——即在没有中心化中介或托管人的情况下存储 BTC。2021 年 3 月 17 日，Coinkite（Coldcard 的制造商）升级了设备固件，在加密密钥生成过程中引入一种新的随机数生成器（RNG）来注入熵。但由于软件错误，新 RNG 的实现存在缺陷，设备在密钥生成过程中悄然失败，并回退到另一种单独的、严重不足的熵来源。由此在设备上生成的私钥缺乏足够熵，无法抵御攻击者通过计算重新生成私钥的攻击。至少从 2026 年 7 月 30 日凌晨起，攻击者一直在实施这种攻击，系统性地重建 Coldcard 生成的种子，并在链上卷走资金。

在已确认的高置信度攻击波次和痕迹中，没有一起发生在 8 月 6 日之后。尽管仍有更多受害者向 Galaxy Research 报告，帮助我们直接归因损失、确认更多攻击痕迹，但到目前为止，没有任何报告显示 8 月 6 日之后仍有已确认的攻击者活动。需要说明的是，攻击波次减少的原因很可能是易受影响的用户已经迁移资金，或者大部分资金已被卷走。如果你仍在单签名 Coldcard 钱包中持有资金，建议你将资金转移到新地址。

除了第 1、2、3 波攻击外，在受害者报告的帮助下，Galaxy Research 还识别出至少 33 个额外的攻击者痕迹。我们无法确认这些波次或痕迹出自相同还是不同的攻击者，但可以高置信度地判断，在利用 Coldcard 漏洞的威胁环境中，确实有多个攻击者活跃。

大部分资金在被盗后基本未被动过。在被盗的至少 1,778 BTC 中，有 1,531 BTC 仍留在攻击者控制的地址中，未被转移。约 246 BTC 在盗窃后被攻击者转移，其中 65% 流入 Coinjoin 混币交易，35% 继续在链上流转，有时经由精心构造的剥皮链（peel chain）完成。还有极小一部分资金至少可以部分追踪到存入交易所或跨链桥的记录。

Galaxy Research 已向 crypto 交易所、合规与调查公司以及执法机构提供了攻击者地址列表，希望这些地址一旦在中心化中介机构出现，就能被冻结。

<strong>我们的观点</strong>

这一事件令比特币社区深感震动，原因有多个。首先，这次攻击的性质决定了受害者群体恰恰由理念上最契合的比特币持有者组成：他们是 BTC 的长期储蓄者，信奉无需中介的自我托管与冷存储。这些用户损失资金，并非因为把钱存入了可疑的离岸交易所，也非将资金桥接到 DeFi 追逐长尾收益，更非用 BTC 去博取风险更高的资产。其次，尽管这笔损失刚好挤进史上最大 crypto 盗窃案的前 20 名（以 1.12 亿美元计排名第 20，略低于 Multichain 2023 年 7 月的 1.3 亿美元劫案，略高于 Harmony Horizon Bridge 2022 年 6 月的 1 亿美元盗窃案），但如此规模的盗窃发生在自我托管硬件钱包上，仍是闻所未闻。最后，Coldcard 被比特币极端主义者广泛宣传为最具安全意识的硬件钱包，因此它的沦陷直击比特币意见领袖与知识分子群体多年来教育和推广工作的核心。

有证据表明，这次漏洞利用事件加剧了人们对自我托管的恐惧，也损害了自我托管的叙事，至少在短期和中期内是如此。事件发生后，流入交易所的小额转账（<1 BTC）数量一度触及阶段高点；攻击开始后的头四天内，流入交易所的 BTC 超过 22,000 枚；截至 8 月 8 日，交易所余额达到 368.3 万 BTC，创下历史新高。一些传统金融公司似乎也想抓住这个时机，BlackRock 宣布，以原生 BTC 进行 IBIT ETF 份额实物申购的最低门槛已从 2,500 万美元降至 100 万美元。

但这一事件也凸显了更安全的自我托管方式——多签（multisig）成为明显的赢家。在所有盗窃交易中，没有任何一笔从多签钱包中窃取到资金。在自我托管领域，一种备受关注的多签形式是协作式多签自我托管（collaborative multi-sig self-custody）。它之所以受青睐，一方面是因为其冗余性，另一方面则是对技术能力较弱的用户更为友好，Casa、Unchained、Nunchuk、Anchorwatch、Liana 等提供的服务均属此类。

“自 Coldcard 漏洞被发现以来的两周里，我们看到了大量的资金流入，”Casa 首席执行官 Nick Neuman 表示，“新客户注册量激增，客户已将大量 BTC 转入他们的 Casa 多签金库。”

Anchorwatch 首席运营官 Becca Rubenfeld 也观察到了类似的需求增长。“Anchorwatch 的新客户注册量立即上升，现有客户的流入也有所增加，”Rubenfeld 告诉 Galaxy Research。她还提到，公司经历了“自成立以来最大的单周资金流入”。

“把这件事说成是托管机构的胜利、自我托管的失败，并没有抓住重点。真正的风险是单点故障——无论是托管机构、硬件钱包制造商，还是你自己，”Unchained 联合创始人 Dhruv Bansal 告诉 Galaxy Research。Bansal 表示，Unchained 看到了“长期坚持自我托管的比特币持有者兴趣大幅激增，他们希望在不必交出控制权的情况下分散这种风险”。

攻击发生后，Rob Hamilton（Anchorwatch 首席执行官）、Calle（Cashu 开源项目成员）、James O’Beirne 以及其他约 25 人一直在运营比特币红队（Bitcoin Red Team），系统性地扫描生态系统中关键代码仓库的漏洞并推荐补丁。对代码安全的新一轮关注值得欢迎，但在 AI 时代，这显然更加紧迫。我们针对攻击者的研究给出了高置信度的判断：即便攻击者并不需要借助 AI 来发现漏洞（尽管他们很可能确实用了），至少部分攻击者几乎肯定利用了缺乏网络安全防护的 AI 模型（例如最近发布的开源 Kimi K3 模型）来实施攻击。Hamilton 本周在 Galaxy Brains 节目中告诉我，美国前沿实验室的“安全”政策在很大程度上阻止了红队使用前沿模型来防御这些攻击，使他和其他安全研究人员不得不依赖与攻击者相同的中国开源模型。看来，到目前为止，比特币“不要信任，要验证”的信条并未真正兑现——人们所做的验证远远不够。红队正在带头改变这一现状。

Coldcard 事件将推动比特币文化发生演变。比特币极端主义“纯粹性”的时代——那个时代会谴责不自我托管的人，谴责使用非“仅比特币”（如 Coldcard 那样）硬件钱包的人，还把非技术型意见领袖捧到比具有密码朋克决心的开源开发者更高的位置——极有可能在主流比特币文化中走向终结。需要明确的是，除了 Coinkite，这一事件没有其他责任人：是 Coinkite 的劣质代码引入了漏洞，也是它排斥开源社区，导致漏洞五年未被发现——当然更不应归咎于受害者，他们没有做错任何事；同样不应归咎于那些推广 Coinkite 硬件、却没有亲自对固件进行深入安全审计的播客博主和意见领袖（在我看来，要求他们做到这一点并不合理）。

但过去六年（实际上始于新冠封锁期间）的比特币社会运动，因 Coldcard 漏洞利用事件而抵达了一个重要里程碑——即便不是转折点，甚至可以说是落幕的标志。仅仅依靠哲学解释、模因式陈词滥调，以及坦率地说，s**tposting（垃圾帖），来“贡献”比特币、把人们转化为比特币持有者的时代，已经结束。比特币持有者需要做得更多：审计更多代码，更清晰、更有效地开展教育，同时对那些可能觉得自己没有技术能力保护自己币的新人多一些包容、少一些评判。早期迹象表明，这一切已经在发生，比特币及其社区最终将因这次事件而变得更强大。如果自我托管、自我主权以及无中介交易这些核心信条要继续存续，就必须如此。因为中心化中介机构正变得越来越大、越来越强，也越来越擅长推销他们自己版本的 BTC 敞口。—— Alex Thorn

🪊 只持续了两个区块的比特币分叉

一项本应让比特币免受“垃圾信息”困扰的软分叉， 只存活了两个区块 。

BIP-110，正式名称为“临时数据削减软分叉”（Reduced Data Temporary Softfork），出自化名开发者 Dathon Ohm 之手，Luke Dashjr 也参与其中。Dashjr 是 Bitcoin Knots 节点软件的创建者、Ocean 矿池前董事长兼首席技术官，也是比特币社区中一位颇具争议的人物。该提案要求在共识层面对比特币交易中的任意数据实施为期一年的限制，涵盖 Ordinals 铭文（比特币对 NFT 的回应）、BRC-20 与 Runes（均为同质化代币标准），以及过大的 OP_RETURN。该提案包含七条规则：大多数输出的大小上限为 34 字节，OP_RETURN 上限为 83 字节，数据推送上限为 256 字节，此外还对 Taproot 附件（annex）和控制块（control block）作出了限制。

其激活机制设定为获得 55% 的矿工信号支持（即 2,016 个区块中的 1,109 个）。作为对比，比特币 2017 年的 SegWit 升级要求 95% 的支持率，2021 年的 Taproot 则要求 90%。如果未能达到 55%，就会在区块 961,632 开启一个强制信号窗口，届时运行该规则的节点将拒绝任何未发出信号的区块，无论算力有多少。

矿工们的支持率从未接近过目标。在窗口开启前的最后一个难度周期中，2,016 个区块里只有 51 个发出信号，占比仅 2.53%——而这一门槛本身已被其作者从惯常标准削减了近一半。根据区块数据，这 51 个区块全部来自 Ocean。

区块 961,632 于 8 月 8 日 19:35:55 UTC 被挖出。AntPool 挖出了一个未发出信号的区块，网络接受了该区块，而运行 BIP-110 的节点则将其拒绝。Roughnecks 则通过 Ocean 的 DATUM 系统产出了竞争区块。

少数派链在到达 961,633 区块后停了下来。Roughnecks 次日停止挖矿，并呼吁其他矿工也照做，随后又在 8 月 10 日改变态度、恢复挖矿，称会一直挖下去，直到出现“合理的 PoW 变更”。主比特币链现在已领先数百个区块。Strategy 执行董事长 Michael Saylor 评论了这次可怜的分叉尝试，称“比特币完全按设计运转”——在面对这次注定失败的分叉尝试时，比特币毫发无损。

Ocean 是唯一为 BIP-110 发出信号的矿池。分叉发生几天后，该矿池披露称，一个 Stratum 配置错误导致其部分矿工在大约 18 小时内被路由到了 BIP-110 链上，而非真正的比特币链。该矿池随后恢复了默认端点，并承诺在 72 小时内直接退还约 0.3 BTC。密码学家、比特币元老 Adam Back 建议，这笔损失应从 Dashjr 的工资中扣除。此后，Ocean 报告的算力已下跌 96%，矿工们公开呼吁更换领导层。

8 月 9 日，比特币改进提案（BIP）编辑 Mark “Murch” Erhardt 向比特币开发邮件列表提交了一份动议，建议将同为编辑的 Luke Dashjr 从编辑职位上除名。Erhardt 列举了 Dashjr 的利益冲突、贡献微薄、力挺一项有争议的分叉，以及与其他编辑之间的协同失灵等问题。

第二天，这件事就完成了。Jon Atack 合并了该PR（pull request，仅一行删除），长期参与 Bitcoin Core 的贡献者 Bryan Bishop 确认其仓库权限已被撤销。Bishop、Atack、Erhardt、Olaoluwa Osuntokun 和 Ruben Somsen 仍担任 BIP 编辑。Dashjr 还宣布从 Ocean 休假。他继续将多数派链称为“Bpedo”。（他主张限制任意数据的理由之一，是所谓儿童性虐待材料可能被发布到链上的风险。）

面对 2.53% 的支持率，Dathon Ohm 的回应是指责大型矿池串通合谋，并宣布正在研究工作量证明（PoW）变更，以便“解雇矿工”。Dashjr 对此表示支持。当被追问比特币核心哈希函数 SHA-256d 有什么问题时，他引用了 ASICBoost。（ASICBoost 是一种加速挖矿的技术。）

我们的观点

Ocean 的整个卖点就是矿工主权。DATUM 的存在，是为了让矿工们在本地构建自己的区块模板，而不必信任矿池运营商的区块构造。这是一个有用的产品，解决的是真实的中心化问题。然而，一个配置错误在未经矿工同意的情况下，将未分配算力导向了董事长的分叉链长达 18 小时，最终矿池不得不开出退款支票。一个花了两年时间论证“矿池是危险中介”的运动，最终以自己的代价证明了这一论点。

这个软分叉从来就不是其支持者所声称的“中立的反垃圾补丁”。它是在共识层面试图让比特币社区中少数人不喜欢的付费交易失效。此外，接受门槛从 95% 降到了 55%，而且他们还设计了一个强制信号窗口：即便连这个低得多的门槛都达不到，该窗口也会导致网络分裂。降低门槛催生了一场堂吉诃德式的尝试，而这条分叉链需要（按 Saylor 的计算）25 年才能迎来第一次难度调整。

BIP 148（其 2017 年的激活被庆祝为“比特币独立日”）之所以成功，是因为交易所、钱包、企业和持有者早已站在它那一边。矿工们向一个早已撇开他们行动的经济多数派屈服了。UASF（用户激活软分叉）是经济多数派绕开矿工的机制，而不是让约 2.5% 的人绕开其他所有人的机制。

转向 PoW 的举动让 Ocean 的处境更加糟糕。矿工们拒绝了 BIP-110，而他们的回应却是试图更换“选民”。抗 ASIC 甚至可能根本不是重点。根据 Knots 的一个策略频道，他们公开表述的逻辑是采用一种山寨币的算法，这样新链第一天就能有 ASIC 可用。这基本上就是在蚕食一种比特币持有者会称之为毫无价值的资产所对应的硬件（他们对这类资产有个不雅的称呼，发音与 bitcoin 押韵）。Bitcoin Gold 在 2017 年就做过这个实验，如今已经没人再把它当作警示故事来引用了。

Luke Dashjr 在 Bitcoin Knots Discord 频道中阐述工作量证明设计标准。来源： Bitcoin.com News

值得关注的是，Ocean 算力 96% 的下跌是否会成为永久状态。这个为比特币挖矿中心化问题提供了最可信答案的矿池，押注于其董事长力推的分叉，最终失败了。—— Will Owens

其他新闻

• Tether 与四大会计师事务所之一的 KPMG U.S. 完成审计；USDT 发行方已经走了很长一段路

• 🤦‍️ Trezor 硬件钱包客户数据因物流服务商遭入侵而泄露

• ‍️ Trump 授权雇佣私掠者攻击犯罪团伙（需缴纳 100 万美元保证金）

• Solana 因路由故障导致 29% 的质押离线，险些宕机

• Nvidia 借助华尔街投行筹集 5,000 亿美元以上资金，用于 “AI 工厂” 建设

• Kalshi 据称年化收入突破 40 亿美元，并寻求 400 亿美元估值……

• ……与此同时，它还通过 DoubleZero 的高速数据网络流式传输订单簿

• ◀️ Crypto 基础设施提供商 Zerohash 的美国银行牌照申请“被退回”，未获裁定

• Anthropic 据称将成为 Riot Platforms 的一项 91 亿美元租约的租户，租赁 191 兆瓦电力……

• ……而 Riot 则在第二季度出售了 4,300 BTC，为从挖矿向 AI 数据中心的转型提供资金

本周图表：Crypto 借贷的有序、平缓下滑

受市场持续去杠杆趋势影响，第二季度成为自 2022 年第四季度以来，Galaxy Research 追踪的所有链上借贷类别（CeFi、DeFi，以及抵押债务头寸稳定币中由 crypto 抵押的部分）首次全面下降的季度。当前状况与上一个熊市周期的显著区别在于，未偿贷款正以一种稳定、阶梯式的方式下降，而不是彻底崩盘。

总体而言，crypto 抵押借贷在 2026 年第二季度收缩了 113.3 亿美元（降幅 16.78%），降至 561.6 亿美元，比 2025 年第三季度 786.9 亿美元的高点低了 40.13%。

DeFi 借贷应用上的未偿借款自 9 月 19 日达到 471.3 亿美元的历史高点以来，已大幅缩减。截至 7 月 31 日，链上借贷余额为 219.4 亿美元，累计减少 251.9 亿美元，降幅达 53.45%。尽管 crypto 市场普遍下跌，且 2 亿美元的 rsETH 漏洞事件搅动了 Aave，但这一跌幅仍小于 2022 年熊市周期中 DeFi 超过 80% 的回撤幅度。

更多见解，敬请关注即将发布的 Galaxy Research 季度杠杆报告。—— Zack Pokorny

• 原文链接： galaxy.com/insights/rese...
• 鸿途知科网 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～