LedgerとTrezorは、競合ハードウェアウォレットColdcardのファームウェア脆弱性を悪用した約7,000万ドル相当のビットコイン(BTC)流出が発生したことを受け、自社製品の資産は安全だと利用者に説明した。今回の流出はわずか41分の間に発生している。
主なポイント
- Ledger、Trezor、Bitkey、Jade、Tangemは、Coldcardのファームウェア脆弱性は自社端末には及ばないと表明。
- 攻撃者は7月30日早朝の41分間で、1,196アドレスから合計1,082.65BTCを吸い上げ、当初報告の約2倍に。
- ビットコインのSNSセンチメントは過去最低を記録し、7月31日の米国現物ETFには2億6,540万ドルの資金流出。
LedgerとTrezor、「Coldcard問題との関係なし」と断言
Ledgerは声明で、Coldcard Mk3に関するアドバイザリーの影響は受けないとし、その理由としてセキュアエレメントチップ内に認証済みのハードウェア乱数生成器（RNG）を搭載している点を挙げた。
Trezorも金曜日、顧客向けに、問題はCoinkite独自のカスタムファームウェアに起因するものであり、Trezor製品はそのコードを共有していないと説明した。Bitkey、Jade、Tangemも数時間以内に相次いで安全宣言を出し、ユーザー不安の沈静化に動いた。
ただしTrezorは一つ重要な注意点も示した。問題のあるColdcard端末でシードフレーズを生成し、そのシードを後に別のウォレットに復元した利用者は、依然として攻撃に晒される。乱数の弱さはシード自体に刻まれており、ウォレットを乗り換えてもリスクが「持ち運ばれる」ためだ。
関連記事: AIインフラで「給料日ローン」から転身 データセンター制覇を狙う100億ドル賭け
ビットコイン投資家心理は過去最悪水準に低下
Galaxy Researchは、この一連の資金流出について、7月30日早朝の41分間に集中して起きたと分析した。被害は1,196アドレスにまたがり、合計1,082.65BTCと試算。当初報告されていた594BTCのほぼ2倍に膨らんだ格好だ。
オンチェーン分析企業Santimentは、その後のSNS上のビットコイン言説について、強気・弱気コメント比率が0.58まで低下したと報告。同社のデータで過去最弱のビットコインセンチメントとなった。
投資マネーも心理悪化をなぞる動きとなった。
米国のビットコイン現物ETFは7月31日、合計で2億6,540万ドルの資金流出を記録。直前2日間の純流入トレンドはいったん途切れた。中でもBlackRockのIBITが1億2,270万ドルと最大の流出を計上し、次いでFidelityのFBTCが5,480万ドルの流出となった。ビットコイン現物価格は、金曜日に約3%下落して以降、おおむね6万3,000ドル近辺でもみ合っている。
セキュリティ企業Blockaidの最高経営責任者（CEO）、Ido Ben-Natan氏は、論考の中で、2026年に発生した暗号資産関連の損失の大半は、スマートコントラクトの欠陥ではなく「秘密鍵の流出・侵害」に起因していると指摘。StriveのJoe Burnett氏も寄稿で、今回のColdcard問題は、投資家がセルフカストディ（自己保管）をどう捉えるか、その意識を長期的に変えてしまう可能性があると論じた。
Coldcardファームウェア脆弱性の経緯
この脆弱性は約5年間、事実上放置されていた。Blockのエンジニアは問題の根源を、2021年3月1日付のコードコミットに特定。そのコードはファームウェア4.0.0として出荷され、シード生成処理を知らないうちにソフトウェアベースの代替ルーチンへと迂回させていた。
その結果、Mk3デバイスで得られる実効エントロピー（乱数の強度）は、およそ40ビット程度まで低下。通常のシードフレーズが備えるべき128ビット相当の安全性を大きく下回っていたとされる。
Coinkiteが最初の公式アドバイザリーを公表したのは、資金流出が始まってから約30時間後。まずMk3モデルを対象として注意喚起を行い、その後、Mk4、Mk5、Qモデルへと対象範囲を拡大した。
ただし、単にファームウェアを更新するだけでは根本的な解決には至らない。脆弱なファームウェア上で既に生成されてしまったシードフレーズは、アップデート後も「推測されやすい」状態が続くためだ。利用者が真に安全を確保するには、新しい安全な環境下でシードを再生成し、資産を移行する必要がある。