ハードウェアウォレット「Coldcard」の ファームウェアに潜んでいた欠陥が悪用され、ビットコイン（Bitcoin［(BTC)](https://yellow.com/asset/btc)）で 約7,000万ドル（1,082BTC超）が盗まれた。この事態を受け、**チャンポン・ジャオ（Changpeng Zhao、CZ）**氏は 「コールドストレージも決して無敵ではない」と警鐘を鳴らした。
重要ポイント
- 調査チームは、7月30日UTC午前1時10分〜1時51分のわずか41分間に、1,196ウォレットから 1,082.65 BTCが一斉に抜き取られたと特定。
- CZは保有資産を1つのウォレットに集中させず、複数に分散するよう呼びかけ。
- メーカーは修正版ファームウェアを公開したが、影響を受けたバージョンで生成した シードは作り直す必要がある。
Coldcardからのビットコイン流出
Galaxy ResearchとBlockの調査チームは、 7月30日UTC午前1時10分〜1時51分にかけて行われた一連の「スイープ（資金一掃）」取引を 追跡し、 1,196のウォレットから合計1,082.65 BTCが奪われたと結論づけた。これは当初推計のほぼ2倍に相当する。
Galaxyによると、攻撃の動きは6ブロックにまたがっており、そのうち3ブロックでは関連取引が 確認されなかったことから、攻撃者は取引をバッチ（まとめて）でブロードキャストしていたとみられる。 攻撃者が実際にデバイスに物理的接触をした形跡はない。盗まれた資金は8月1日時点で 4つのアドレスにとどまっていた。
この脆弱性は、2021年3月に行われたソフトウェア変更に端を発する。本来はハードウェア乱数 生成器を用いてシードを生成する設計だったが、そこから迂回し、予測可能性の高いフォールバック ルートに流れてしまう実装となっていた。Coinkiteは、この結果としてMk3デバイスでは 実効的な安全性が約40ビット、後期の影響モデルでも約72ビットまで低下していたと試算している。
関連記事: SpaceX Braces For A Supply Shock As 911.5M Shares Come Unlocked
CZが示したウォレット管理への警鐘
仮想通貨取引所Binanceの創業者で前CEOのチャンポン・ジャオ氏（CZ）は、 今回の一件は「長年の稼働実績があってもソフトウェアリスクは消えない」 ことを示したとX（旧Twitter）で指摘した。 「ハードウェアウォレットであってもバグはあり得る」と述べ、ユーザーに対し資産を 1つのウォレットに集中させず、複数に分散することを勧めた。一方で、この分散策自体も 別種のリスクを伴うことも認めている。
実際、ウォレットを増やせば、その分バックアップや復元手順の管理が煩雑化し、 集中リスクを下げる代わりに、オペレーションミスによる損失リスクが高まる側面がある。
CoinkiteはMk3、Mk4、Mk5およびQデバイス向けに修正版ファームウェアをリリースしたものの、 アップデートでは既に弱いシードそのものを「修復」することはできない。同社は、 少なくとも50回以上のサイコロ振り（ダイスロール）により生成されたシードは、 今回の欠陥単体からは保護されているとの見解を示した。その他の影響ユーザーについては、 新しいシードを生成し、少額のテスト送金で動作を確認したうえで、残高を順次移動するよう 推奨している。
Blockは、より古いMk2モデルについても影響が及ぶ可能性を指摘しているが、 Coinkiteの公式アドバイザリーにはMk2の記載はない。ユーザー側では自分のシードが 直接的に脆弱かどうかを検査する術がなく、研究者らは、脆弱なウォレットに資金が残る限り、 今後も同様の「スイープ攻撃」が繰り返されるおそれがあると警戒を促す。
問題のバグは2021年3月にColdcardのシード生成プロセスに入り込み、 2026年7月末に緊急パッチが投入されるまで、影響バージョンに渡って温存されていた。 5年に及ぶこの空白期間により、長期間資金移動がなかったウォレットの所有者ほど 「動かない＝安全」と誤信しやすく、今回のインシデントの深刻さを増幅させた形だ。
次に読む: OpenAI Shows Senators New Model Astra Days Before A 30-Day Review Framework Lands