Coldcardで生成された脆弱なBitcoinウォレットを標的とする継続中の盗難による確定損失は、1億ドルを超えた。ブロックチェーン研究者によると、3回の協調攻撃と14件の小規模インシデントが特定され、約7,300のアドレスから約1,596 bitcoinが流出した。

Galaxy Researchは、盗難はColdcardのシード生成プロセスにある欠陥に起因し、ウォレットのリカバリーフレーズ作成に使われる乱数性が弱まったため、攻撃者がハードウェア機器自体を侵害することなく秘密鍵を再構築できたと述べた。同社は確認済み損失について「高い確信」を持っているとしつつ、4回目の波が疑われており、総盗難額は約2,055 bitcoin、約1億3,000万ドルに達する可能性があるという。

この攻撃は、2026年7月30日に約3,800万ドルが盗まれたとみられて最初に検知されて以来、急速に拡大してきた。

BITCOIN | ~500 Bitcoin Hardware Wallet Addresses Get Drained of ~$40 Million

最初の大規模流出後、推定被害額は約7,000万ドルへと上昇し、週末の3回目の波を受けて約8,900万ドル近くまで拡大した。その後、追加の被害者とより小規模な攻撃クラスターが確認され、現在は1億ドルを超えている。

CASE STUDY | Bitcoin Cold Wallet Exploit Spreads to Over 4,500 Addresses as Losses Climb to ~$90 Million

多くの暗号資産ウォレット侵害とは異なり、この事件はフィッシング、マルウェア、または利用者がリカバリーフレーズを漏らしたことに依存していなかった。代わりに、攻撃者はウォレットシード生成に使われるエントロピーを低下させるファームウェアのバグを悪用し、影響を受けたColdcardデバイスで作成された一部のウォレットを、生成から数年後に数学的に予測可能にした。これにより、秘密鍵を保護するよう設計されたデバイスでも、シード生成プロセスに欠陥があれば露出し得るとして、ハードウェアウォレットのセキュリティへの監視が改めて強まり、影響を受けた利用者には新たに生成したウォレットへ資金を移すよう緊急の警告が出されている。

CASE STUDY | Why This Cold Wallet Exploit Exposes a Big Bitcoin Hardware Security Vulnerability

この事件は、Bitcoinの中核的なセキュリティ前提の1つ、つまり利用者がリカバリーフレーズをオフラインで保管している限り、ハードウェアウォレットは強力な保護を提供するという前提に疑問を投げかけている。今回の場合、ウォレット自体が弱いシードフレーズを生成しており、適切に保管されていたデバイスでさえ、生成から数年後に脆弱となった。

Galaxy Researchによると、執筆時点で盗まれたbitcoinの90%はまだ移動されていなかった。同社はブロックチェーン上の活動を引き続き監視しており、この悪用はなお進行中で、追加の脆弱なウォレットが引き続き標的になり得ると警告している。

MILESTONE | ColdCard Hack Triggers Largest Small Bitcoin Transfer Surge Since FTX Collapse