我们认为，最近几天发生的事件应该——而且也必将——成为整个比特币社区的一次警钟。
由于随机熵生成不足，导致大量 Coldcard 设备被成功利用，这一事件必须促使我们从根本上重新思考未来应如何进行自我托管。
毫无疑问，这次事件动摇了许多原本选择自行保管比特币的人，他们现在——完全可以理解——可能会考虑重新回到第三方托管。同时，它也让那些尚未迈出自我托管这一步的人，对自我托管产生了更大的畏惧感。
坦率地说，当连许多长期活跃于比特币社区、拥有远高于普通用户技术水平并深谙整个生态系统的人，都未能预见并提前防范这种灾难时，我们几乎无法责怪新手因此望而却步。
是的，早期确实有人发出了警告。我们真诚希望，从现在开始，这些担忧能够得到更多人的重视。
但话虽如此，放弃自我托管绝不是正确的回应。
真正的答案应该是，让安全的自我托管变得更加可靠、更容易理解，并且能够被更广泛的用户所使用。
首先，中心化托管机构的历史记录要糟糕得多——几乎贯穿了整个比特币的发展史。交易所及其他托管平台曾多次遭遇黑客攻击、倒闭、冻结用户提现、挪用客户资产，甚至直接卷款消失。
将大量比特币集中于少数托管机构手中，会造成系统性风险，并削弱比特币这一资产及其网络本身的基础。无论托管服务提供商的从业人员出于多么强烈的经济利益而试图说服你，中心化托管在安全性方面都并不优于自我托管。
其次，持有“纸面比特币”（Paper Bitcoin），而非真正拥有比特币，也会削弱整个生态系统的健康发展，并进一步损害比特币长期的价值主张。
如果你不愿意自行保管比特币，那么把它放在券商账户里，其实与持有亚马逊、微软股票或黄金 ETF 并没有太大区别。
当你持有的仅仅是一份纸面上的权益时，你实际上将几乎所有责任——以及维护比特币去中心化所需承担的一切工作——都交给了别人。与此同时，你也在把手续费和影响力输送给大型传统金融机构，而这些机构的利益驱动，正是推动托管进一步集中化，并最终削弱比特币真正价值所在的那些核心特性。
如果传统金融（TradFi）的投资组合更符合你的风险偏好，并且你清楚它的局限性，那么持有传统金融资产本身并没有任何问题。但请不要把购买比特币 ETF 与支持比特币生态系统混为一谈。
从去中心化的角度来看，你甚至可能通过完全不购买比特币 ETF，为比特币做出更大的贡献。你的资金只是帮助大型托管机构将更多比特币集中到它们的控制之下。如果你希望支持比特币，同时又希望自己的投资组合完全留在传统金融体系中，那么不如把这些资金配置到其他传统资产上（而且——不，比特币金库公司（Bitcoin Treasury Companies）也不是答案……）。
是的，这次事件带来了沉重的打击。
但不，我们绝不能因此放弃自我托管这一使命。如果面对困难时，我们唯一的回应只是“相信专家”，那么整个系统将会逐渐衰弱，并最终走向失败。
BitcoinVN Shop
我们已经知道，有些人会这样说：
“你们经营硬件钱包商店，当然希望继续推广硬件钱包！”
不是这样的。
BitcoinVN Shop 在成立九年的历史中，从未实现过盈利。
之所以能够持续运营，完全依赖于我们的母公司 BitcoinVN ——一家中心化交易所——长期提供补贴和信贷支持。多年来，这些支持累计金额已达到数万美元的中五位数规模。
这并不是一项赚钱的生意。
没错，我们销售每件商品都会收取一定利润。但迄今为止，这些利润从未足以弥补多年积累下来的各种损失与核销，包括运输损坏、我们自行承担的保修成本，以及解决各种可预见与不可预见物流问题所产生的费用。
更不用说，我们还需要承担日常运营成本：员工薪资、物流、库存管理、仓储、会计、配送、维护线上平台，以及维持整个服务正常运作所需的一切支出。
我们之所以开始向越南市场提供硬件钱包，并不是因为看到了一个轻松赚钱的机会。当然，我们最终希望 BitcoinVN Shop 能够实现盈利，否则这项业务始终无法持续，也不可能永远依赖补贴。
但建立 BitcoinVN Shop 的初衷完全不同。
2014 年初，当 BitcoinVN（当时名为“Bitcoin Vietnam”）推出越南首家比特币交易所时，我们刻意选择了非托管（Non-Custodial）模式。我们不希望替客户保管比特币，也不希望承担保护客户资产安全的责任。
然而，市场现实很快便摆在了我们面前。
对于了解自己在做什么的用户来说，即时提现运作得非常顺利。
但对于经验不足的客户来说，却造成了无数损失。有些人把比特币发送到了可疑的钱包、不可靠的交易所，甚至直接落入骗局；还有一些人提币到自己的钱包，却因为没有真正理解自我托管，或没有妥善备份助记词（Seed Phrase），最终永远失去了访问权限。
因此，我们开始允许一部分客户暂时将资产保留在平台上，同时不断强调学习自我托管的重要性，并鼓励他们最终掌握属于自己的比特币。
BitcoinVN Shop 正是基于这一经历诞生的。我们的客户需要可靠的自我托管工具，而将硬件钱包进口到越南，在当时——直到今天——依然是一项繁琐且困难的过程。
每增加一道阻碍，就意味着更少的人会真正迈出自我托管这一步。
因此，我们决定亲自负责硬件钱包的进口与国内分销，让用户能够尽可能轻松地获得开始自我托管所需的工具。
进口、存储和分销硬件钱包并不是一项简单、低成本的业务。它伴随着所有实体商品经营所面临的各种限制与复杂性，尤其对于这类高度依赖供应链完整性的安全产品而言，更是如此。
有很多比这更轻松的赚钱方式——或者说，至少还有很多能够真正赚到钱的方法。
如果我们不是早已运营 BitcoinVN Exchange，并亲眼见证这些问题，我们根本不会涉足硬件钱包的销售业务。
那么，我们为什么还是要这么做呢？
原因主要有两个：一个出于相对现实的自身利益，另一个则源于我们认为自己对整个比特币网络以及比特币长期成功所肩负的责任。
首先，我们不希望替别人保管大量比特币。我们不希望客户把我们当成他们的银行。
这种责任极其重大。一次失误，就可能让另一个家庭毕生积蓄化为乌有，改变整个家族未来数代人的命运——在最极端的情况下，甚至可能彻底摧毁一个家族的延续。
而且，由于我们相信因果（karma）——无论你如何称呼它——这既不是我们愿意承担的风险，也不是我们愿意背负的责任。
因此，只要我们提供任何形式的托管服务，我们的沟通中都会充满各种警告与免责声明，提醒用户不要把任何自己无法承受损失的资金托付给我们——或者任何第三方。。
我们代客户保管的资产越多，风险也就越高。托管更多比特币，只会让公司以及我们的员工成为更有吸引力的攻击目标，因为一旦攻击成功，回报也将更加丰厚。
因此，尽可能减少攻击者能够获得的潜在战利品，是我们整体安全防御策略的核心组成部分。让客户能够轻松提币并掌握自己的比特币，本身就符合我们的利益。
除此之外，我们还肩负着对整个比特币网络的责任。
只有当足够多的人以自我托管的方式持有自己的比特币时，比特币作为一种资产、一个网络以及一个项目，才能真正取得成功。
比特币托管越集中于少数机构手中，整个系统就越脆弱。相反，私钥控制权分布得越广泛，整个网络就越具韧性。
是的，这也意味着，在紧急情况下，不存在一个中心化运营者能够轻易推动一次“简单升级”、撤销交易或修改规则——而这些事情，我们已经在许多更加中心化的网络中见过无数次。
如果你不喜欢一个不会因为任何个人偏好而干预、只会按照既定规则持续运行的网络，那么比特币或许并不适合你。
但这正是它存在的意义。
正因为中心化力量无法按照自己的意志操控网络——而这种权力过去一直被滥用于操纵货币体系、谋取私利——比特币才拥有其独特的价值，并成为如此具有吸引力的替代方案。
我们的失误：上架 Coldcard
在这件事上，我们必须承担属于自己的责任。
几年前，我们将 Coldcard 硬件钱包纳入产品线。这样做意味着，那些购买了这些设备，并完全依赖其已被证明存在缺陷的随机数生成器（RNG）的客户，实际获得的安全性远低于他们理应得到的水平。
我们需要明确说明：
我们从未收取任何“营销费用”或类似的经济激励。之所以上架 Coldcard，纯粹是因为客户不断向我们咨询，希望获得一种比主流硬件钱包更加专注于比特币的选择。
在整个销售过程中，我们并没有从 Coldcard 的销售中获得任何利润。账目显示，仅仅将其引入越南市场，就已经让我们累计承担了数千美元的亏损。
如今，由于这些设备已不再适合向公众销售，我们还必须额外核销剩余库存，损失金额预计超过 10,000 美元。
继续销售已知随机数生成器存在缺陷的设备，让客户面临资产损失风险，是无法辩护的。因此，我们在获悉问题后，立即停止了所有销售，并将相关产品从商店下架。
那么，当初我们是如何评估 Coldcard 的呢？
我们的评估并不包括对设备硬件和固件进行独立审计。相反，我们审核流程中的一个重要参考指标，是业内领先的多重签名（Multisig）软件开发团队是否选择将某款设备集成到他们的软件生态中。
这些团队拥有专业的工程师、充足的资源以及高度专注的技术能力，因此能够比一家小型零售商更深入地评估硬件钱包的可信度与安全性。因此，他们是否选择集成某款设备，是我们评估产品时的重要参考依据——但绝非最终结论。
然而，这一次，这些参考信号未能暴露底层存在的安全缺陷。最终决定上架 Coldcard 的，仍然是我们自己，我们愿意为这一决定承担责任。
与此同时，要求一家小型硬件钱包零售商雇佣自己的安全工程师团队，并对每一款销售设备的每一行固件代码进行独立审计，也是不现实的——尤其是在这一漏洞超过五年都未被整个生态系统发现的情况下。
许多我们此前并不了解的硬件钱包制造商，经常主动联系我们，希望自己的产品能够在 BitcoinVN Shop 上架。由于我们无法从零开始独立审核每一款设备，因此只能依赖生态系统中我们所信任的技术团队和安全研究人员所做出的专业评估。
如果某款设备获得了他们的认可，我们可能会考虑将其上架销售。但这绝不应被理解为 BitcoinVN Shop 对其进行了独立安全认证。我们并不具备完成此类认证所需的资源和技术能力。
自我托管的未来
未来几天乃至几周，请密切关注那些借此次事件大力宣传托管解决方案的人。
他们是在损害比特币利益，应当被明确识别为不怀好意的参与者——他们并不关心比特币能否成功。
我们已经看到，社交媒体上充斥着越来越多的恐慌言论，例如：“兄弟，早知道就放交易所了。”与此同时，还伴随着各种存在误导性的统计数据，声称大量比特币因自我托管而永久丢失——这些统计往往甚至把中本聪持有的比特币也计算在内，严重扭曲了事实，看起来更像是一种刻意误导。
已故的 Jaffer Ali 曾在多年前撰文讨论过这种反复出现的现象。愿他安息。
仅仅过去一个月，我们就再次看到多家海外中心化交易所（CEX）出现问题，导致数千万美元的用户资产凭空消失。不妨先了解一下 BitMart 和 AscendEX 的案例。
对于比特币而言，自我托管依然是不可或缺的基础——只有这样，比特币才能真正发挥其应有的作用，并实现其价值。
尽管这次事件带来了沉重打击——也是所有人都必须认真吸取教训的一课——但自我托管依然是唯一正确的前进方向。
针对 Coldcard 随机数生成器（RNG）缺陷所带来的具体问题，其实已经存在成熟的解决方案。而且，许多将 Coldcard 作为自我托管体系一部分的用户，正是依靠这些方案成功避免了损失。
此外，尽管发生了 Coldcard 事件，仅仅使用硬件钱包这一举措，本身就足以帮助用户防范 99% 导致数字资产丢失的常见风险。
我们的团队持续在这里记录不断演变的安全威胁。在绝大多数案例中，即便只是最简单的单签（Single-Signature）硬件钱包，也足以避免资产损失——无论风险来自于将签名能力保留在联网设备上，还是将资产托付给所谓“值得信赖”的第三方。
硬件钱包能够阻止绝大多数此类攻击。虽然由于单签方案本身存在单点故障（Single Point of Failure）的天然缺陷，因此并不建议用于存放大额资产，但我们也必须明确指出：从整体来看，与大多数人丢失加密资产的原因相比，Coldcard 事件属于极其罕见的特殊事故，而不是普遍现象。
