ハッカーによるColdcardビットコインウォレットからの資金流出が続いており、総被害額は現在1億1400万ドル以上と推定され、ビットコイン史上最大規模のハードウェアウォレット侵害の一つとなっています。

Galaxy ResearchのAlex Thorn氏によると、第4波の攻撃は日曜日の夜に始まった可能性が高いとのことです。Thorn氏はニューヨーク時間午後7時50分頃の投稿で、388.9ビットコイン（2900万ドル以上相当）が継続中の盗難に関連している可能性が極めて高い新規取引で移動されたと報告しました。

攻撃は木曜日に最初に発覚しました。ハッカーが影響を受けたウォレットから3500万ドル以上のビットコインを盗んだのです。Coldcardの製造元であるCoinkite社は、脆弱性の原因を2021年3月にリリースされたバージョン4.0.1に遡るColdcard Mk3デバイスのファームウェアバグにあると説明しました。このバグにより、シード生成がハードウェアの真の乱数生成器ではなく、弱いソフトウェアの擬似乱数生成器にフォールバックし、結果として攻撃者がユーザーのシードフレーズを推測することが可能になりました。シードフレーズはセルフカストディ型ビットコインウォレットのマスターキーとして機能するものであり、これを取得した者は物理デバイスなしで資金を使用できます。この欠陥はコールドストレージの中核的なセキュリティ保証を事実上無効化するものでした。

脆弱性が2021年年初のファームウェアリリースに起因するという事実は、影響を受けるデバイスで数年間にわたり作成されたウォレットが危険に晒されるシードを保持している可能性があることを意味します。

Coinkite社やビットコインコミュニティの他のメンバーがColdcardユーザーに対して直ちに資金を移動するよう促す中、盗難は週末を通して続きました。

月曜日にXに投稿したTrezorのJosef Tětek氏は、継続中の盗難におけるこれまでの最大の単一取引が51ビットコインであったと指摘しました。

The biggest drained address (so far) is 51 BTC. Damn. Imagine owning 50+ btc in cold storage and losing it all. Must be absolutely crushing. pic.twitter.com/qu6CiQOjeV — Josef Tětek (@JosefTetek) August 3, 2026

追加の盗難被害の後、Coinkite社は自社のすべてのモデルが脆弱であったことを認めました。エンジニアたちは、Coldcardに関連するすべてのビットコインアドレスが最終的に危険にさらされる可能性があると警告しています。

同社は日曜日、「当社についての厳しい問い」に直面していると述べました。

「過去3日間は当社の歴史の中で最も困難な日々の一つであり、これを読んでいる多くの方々にとっては、それはさらに深刻なものであった」とCoinkite社は述べました。「何年もかけて貯めたお金が、消えました。何年もかけて築いた信頼が、壊れました。その影響は現実のものであり、一部の方々にとって損害は永久的なものです。」

Coinkite社はまた、脆弱なファームウェアで製造された残りのColdcard在庫を破棄し、すべての製品出荷を停止したことを確認しました。同社は広く使用されているコールドストレージハードウェアウォレットを含む、幅広いビットコイン製品を製造しています。

決済企業Block社のエンジニアチームは、このハッキングについて独自調査を実施しました。彼らは攻撃者が盗難資金の移動に協力させるため、主要なブロックチェーンサービスプロバイダーを利用していたと報告しました。Block社は調査結果を同プロバイダーおよび連邦当局の双方に通報したと述べています。この事件は、ハードウェアウォレット業界全体が抱えるより広範な課題を浮き彫りにしています。すなわち、製造およびファームウェアレベルでの乱数生成の完全性がユーザーセキュリティにとって極めて重要であり、エアギャップ型デバイスであっても、そのシード作成の基盤となるエントロピーの信頼性に依存しているということです。