暗号資産ビットコイン（BTC）のハードウェアウォレット「Coldcard」に関連する不正送金で、 第4波とみられる新たな一連の動きが発生した。Galaxy Researchは月曜日、 Coldcardのファームウェア欠陥と結びつく462件のアドレスから、 合計388.93BTCが移動したと指摘している。
主なポイント
- 研究者は、被害が疑われる462アドレスから約388.93BTCを移動させた 218件のトランザクションを特定した。
- それ以前に確認されている3回の攻撃波だけで、すでに4,585アドレスから 1,367.05BTC（約8,860万ドル相当）が抜き取られている。
- Coldcardは出荷停止と脆弱在庫の破棄を行い、利用者に対し新たなシードを 生成したうえで資金を移動するよう要請している。
Coldcardビットコイン「スイープ」の実態
Galaxy Researchでリサーチ責任者を務めるAlex Thorn氏は、 ビットコインのブロック高960,778〜960,792の間に発生した218件のトランザクションを 特定。 これらの取引によって、被害が疑われる462アドレスから合計388.93BTCが送金されていた。 一連の動きは約2時間半のあいだに集中して起きており、 1ブロックあたり平均13.8件の「スイープ」が発生した計算になる。 これは、事案発生前の平均約0.3件と比べて約45倍のペースだという。 すでに一部資金は「セカンドホップ」となる二段階目のウォレットへ移されていた。
「これらはおそらくColdcardの被害者だ」とThorn氏は述べ、 取引パターンから「新たな組織的攻撃の波が進行中であるとの確信度は高い」と指摘した。 同氏が月曜朝に警鐘を鳴らした時点では、第4波は正式には確認されていなかった。
Thorn氏によれば、同種のトランザクションはビットコインのメンポール上に 依然として滞留しており、多くがreplace-by-fee（RBF）機能を有効にしていた。 RBFは、未承認の送金をより高い手数料を払う別のトランザクションに差し替える仕組みで、 被害者がマイナーに承認される前に攻撃者より高い手数料を提示できれば、 資金を奪還できる可能性も残されている。
Coldcardを運営するCoinkiteは日曜日、問題のファームウェアを搭載した デバイスの出荷を停止し、脆弱な在庫を物理的に破棄したと発表した。 なお修正版ソフトウェアは「インストール後に生成されたシード」のみを保護するものであり、 それ以前に生成されたシードは依然として危険にさらされる。 そのため、該当ユーザーは新たなシードフレーズを作成し、資金をそちらへ移す必要がある。 同社は、被害者に対し証拠保全の観点から問題のデバイスを保管するよう求めており、 法務チームが当局との連携を進めているという。
関連記事: Astra Versus Claude Opus 5: One Splits The Problem, One Holds The Context
ビットコインウォレットのリスク浮き彫りに
オンチェーン分析を手がけるOnchain Lensによると、 これまでに確認された最初の3波の攻撃だけで、被害総額は8,860万ドルに達している。 カナダの保有者1人が、わずか数分で160万ドル相当を失ったとの報告もある。
暗号資産取引所Binanceの創業者である**Changpeng Zhao（CZ）**氏も、 老舗のハードウェアウォレットであっても バグを抱える可能性があると警鐘を鳴らし、 資産を複数デバイスに分散保管することを提案した。 もっとも同氏は、資金を分散すれば管理の複雑化や紛失など 「別種のリスク」を生むことも認めている。
Coldcard側によると、今回の対応に際し、 他のハードウェアウォレットメーカーや研究者、自主管理（セルフカストディ）の専門家らが 支援リソースを提供したという。
同社は、今後も「業界全体と連携して取り組む」と表明しており、 ウォレット製品の検証体制や脆弱性開示のあり方に影響を与える可能性がある。
これまでで最大規模だったスイープは7月30日に発生し、 わずか41分間で1,196アドレスから1,082.65BTCが抜き取られた。 その後、2回の追加攻撃波が確認され、これまでの確定被害は 計1,367.05BTC、4,585アドレスに拡大している。 Coldcardは、同社が展開するSatscard、Opendime、Tapsignerについては 異なるコードベースを用いており、今回の脆弱性の影響は受けていないと説明した。
次に読む: Why Ethereum Keeps Only 4.9% Of What Its Applications Actually Make