Coinkiteが製造し、エアギャップ設計によりビットコイン専用支持者の間で長く愛用されてきた広く普及したビットコインのハードウェアウォレットColdcardのファームウェア欠陥により、攻撃者は約600ビットコイン（約3800万ドル相当）を盗み出すことに成功した。これはビットコインの自己保管における最も重大な事件の一つであり、プライベートキーの管理が一般投資家にとって複雑すぎるようになったのではないかという緊急の課題を浮き彫りにしている。

現在は修正済みのこの脆弱性により、攻撃者は影響を受けたファームウェアバージョンで生成されたシードからウォレットのリカバリーフレーズを再構成することができた。セキュリティ研究者の調査によると、特定のファームウェアリリースでは意図されたよりもはるかに低い乱数性でウォレットシードを生成しており、ブルートフォース攻撃に対する脆弱性が生じていた。リカバリーフレーズを規定するBIP39規格において、十分なエントロピーこそがシードフレーズを実質的に推測不可能にする要素であり、その乱数性が損なわれるとセキュリティモデル全体が崩壊する。パッチは今後新規生成されるシードを保護するものの、脆弱なファームウェアで既に作成されたシードを保護することはできない。つまり、影響を受けたユーザーは完全に新しいウォレットを生成し、資金を移動させる必要がある。

「今すぐ資金を移動せよ」

CoinkiteのCEOであるNVKは公開書簡でユーザーに対して厳しい指示を発した。「Coldcardウォレットを使用してシードを生成した場合は、以下をお読みになる前に、当社の更新されたベストプラクティスに従って今すぐ資金を移動してください。」彼は、修正により新規シードは保護されるものの、侵害されたファームウェアで既に生成されたシードは修復されないと強調した。

この事件の影響は、長らくビットコインの魅力の中核であった原則、すなわち投資家が資産を保護するために銀行や取引所に依存する必要はないという理念に対する信頼を揺るがした。ビットコインのコメンテーターであるGuy Swannは、この事件はコミュニティで最もセキュリティ意識の高いメンバーに対して特異な被害をもたらしたと述べた。

「これはビットコインの歴史上、最も知識があり『適切に保護された』ビットコイナーに対する最悪の被害です」とSwannは述べた。「これはホットキーが原因で取引所がハッキングされた事件ではありません。何千人もの個人のプライベートキーが知らぬ間に再構成されたのです。」

リスクの置き換え

長年、ビットコインの支持者は自己保管を、セントラライズド取引所に伴うカウンターパーティリスクを排除する手段として提唱してきた。これはFTXのような崩壊によって裏付けられた立場であった。しかし現在、アナリストはユーザーが事実上ある種類のリスクを別の種類のリスクに置き換えたに過ぎないと主張している。Coldcardの事件はハードウェアウォレットに対する信頼を試す初めての出来事ではない。2023年にはLedgerがオプションのシードリカバリーサブスクリプションサービスに関してコミュニティからの反発を受け、批判者はプライベートキーへのバックドアが生じる可能性を懸念した。この論争は技術的には異なるものであったが、ハードウェアデバイスが秘密を真にオフラインで保持するという前提に対する信頼を同様に損なった。

「現時点で自己保管型ハードウェアの領域は災難であり、他の何よりも業界の評判を損なっています」と、ARK Investのデジタル資産研究ディレクターであるLorenzo Valenteは述べた（Xでの投稿）。

「実際には、消費者はカウンターパーティリスクをソフトウェアリスク、ハードウェアリスク、サプライチェーンリスク、フィッシングリスク、バックアップリスク、そして一つのミスですべてを失う可能性と引き換えにしたのです」とValenteは述べた。「率直に言って、今日では複数の公開取引所やETFにまたがって資金を保有する方が安全です。」

推奨された remediation すらも批判を浴びた。Coinkiteはウォレットが生成する乱数を物理的なダイスロールで補強するようユーザーに助言したが、CasaのCEOであるNick Neumanはこれを非現実的だとした。

「自己保管を安全にするために人々にダイスを振れと頼むことはできません」とNeumanは述べた。「99%の人にとってそれは受け入れられない提案です。」

セキュリティはもはや受動的ではない

この事件はまた、特に人工知能がソフトウェアの脆弱性を発見するためのコストと労力を削減するにつれて、サイバーセキュリティの状況がいかに急速に変化しているかを浮き彫りにしている。

「ビットコインが秘密の場所で安堵して保管され、あなたが人生を楽しんで心配せずに過ごせるという考えは、現在では非現実的です」と、Taproot開発者で広くフォローされているUdi WertheimerはXに書き込んだ。彼は、ビットコインの保有者は自ら新たな脅威を継続的に監視するか、専任のセキュリティチームを持つ専門的な保管機関に依存する必要がますます高まっていると主張した。

「自分で心配したくなければ、誰か他の人に心配してもらうために報酬を支払う必要があります」とWertheimerは述べた。

Coldcardのエクスプロイトは、ブロックチェーンセキュリティ企業であるBlockaidが記録したより広範な傾向とも一致している。同社の調査によれば、2026年上半期の暗号資産の損失の大部分はスマートコントラクトのエクスプロイトではなく、侵害されたキーと運用セキュリティの失敗に起因していた。

「Coldcardはそのパターンに当てはまり、キー生成段階に起因する露出です」と、Blockaidの共同創設者兼CEOであるIdo Ben-Natanは述べた。「ハードウェアウォレットのセキュリティは最終的に、ユーザーが操作するものの決して目にすることのないファームウェアとシステムに帰着します。それは、ユーザーが資産を管理する前に、セーフガードを上流で組み込む必要があることを意味します。」

他のハードウェアウォレットメーカーは、この事件は自己保管という概念そのものの欠陥ではなく、堅牢なエンジニアリングの重要性を浮き彫りにするものだと主張している。

「この事件は、オープンソースのファームウェアを自動的に優れたセキュリティと同義視すべきではない良い例です」と、Tangemの最高技術責任者であるAndrew Lazutkinは述べた。「究極には、セキュリティは強固なアーキテクチャ、徹底したテスト、独立した検証から生まれます。」

機関的ビットコインへの追い風

このエクスプロイトはまた、スポットビットコインETFが主流の資本を惹きつけている時期に、機関的な保管ソリューションの妥当性を強化する可能性がある。Coinbase CustodyやFidelity Digital Assetsなどの規制された保管機関は、独立した監査、分離されたコールドストレージ、保険カバレッジを必要とする連邦および州の監督フレームワーク、NYDFSトラストチャーターやSEC報告義務を含むが、自己保管ユーザーはこれらを単独で複製する責任を負うことになる。Amicusの共同創設者であるDavid Lawrenceは、Coldcardのような事件は新しい投資家を、自己管理されたプライベートキーではなくBlackRockのiShares Bitcoin Trust（IBIT）のような規制された製品に向かわせる可能性が高いと述べた。

「これは『ビッグビットコイン』にとってのもう一つの勝利でもあります」とLawrenceは述べ、今後の投資家は「IBITを買うだけの方が安全だ」と結論づけるだろうと予測した。

彼はさらに、この事件がビットコインの最も古い理念の一つにとっての転換点を示す可能性があると主張した。「将来、80億人がビットコインをコールドストレージで保管すると信じている人々にとって、これは計り知れないダメージです」とLawrenceは述べた。「その夢は終わりました。完全に。」