Coldcardハードウェアウォレットのファームウェア脆弱性が、2026年で最も重大なビットコインセキュリティ事件の一つを引き起こし、現在の損失は1億3000万ドルを超えると推定されています。

オンチェーン分析によると、2,055 BTC（約1億3000万ドル）の盗難に関与した攻撃者が活動を再開しました。ブロックチェーン調査員のLookonchainは2026年8月7日に次のように報告しました：

The #Coldcard hacker, who stole 2,055 $BTC ($130M), is active again. An hour ago, the hacker transferred 30.185 $BTC ($1.94M) to a new wallet. pic.twitter.com/VTL5UB9xgH
— Lookonchain (@lookonchain) August 7, 2026

この根本的な脆弱性は2021年3月に遡ります。当時、ファームウェアのバグにより、影響を受けたColdcardデバイスでのシード生成のランダム性が低下しました。これにより、暗号鍵の強度が128ビットから約40ビットに減少し、ハードウェアへの物理的なアクセスなしにブルートフォース攻撃を受ける脆弱性が生じました。40ビットでは、意図された128ビットのセキュリティと比較して、キースペースが数兆分の一に縮小し、市販のコンピューティングハードウェアでも影響を受けるウォレットに到達可能になります。Coinkiteが製造するColdcardは、エアギャップ設計によりビットコインのセルフカストディ（自己保管）推進者の間で広く使用されており、このランダム性の欠陥は、デバイスのセキュリティ特性を特に重視して選択したユーザーにとって大きな影響を及ぼします。

Galaxy Digitalは、少なくとも3回の攻撃の波が確認され、それらが合わせて7,300の被害ウォレットから資金を流出させたと確認しました。疑惑のある4回目の波により、総被害額がさらに増加する可能性があります。

ビットコインのオンチェーンアクティビティが急増

ブロックチェーン分析企業のGlassnodeは、この事件を受けてビットコインのアクティブアドレスが1日約98万件に急増したと報告しました。これは2024年12月以来の最高水準です。Glassnodeは、この急増は強気の感情ではなく防衛的な行動を反映していると強調し、「市場の確信の変化ではなく、運用上のセキュリティ対応」と表現しました。

初期の窃取金額の200倍近い価値のある休眠中のビットコインがネットワーク上で移動され、保有者による広範な予防的移転を示唆しています。

より広範なオンチェーン対応の引き金となったのは、7月31日に発生した594ビットコイン（当時の価値で約3,800万ドル）の盗難でした。Galaxy Researchはその後、総損失が1,596ビットコインを超え、1億ドル以上の価値に達したことを確認しました。2021年3月のファームウェアバグの導入から、2026年半ばに最初の悪用が報告されるまでの5年以上の期間は、オープンソースの検証を重視するコミュニティ内であっても、広く使用されているハードウェアの微妙な暗号学的弱点を検出することの難しさを浮き彫りにしています。

攻撃者はミキシングサービスを通じて資金をルーティング

ブロックチェーンセキュリティ企業のCertiKは、盗まれた資産の動きを追跡しました。約64ビットコイン（417万ドル相当）は、ビットコインのミキシングプロトコルであるWasabiに送金されました。また、別途、約38万ドル相当の200イーサはTornado Cashにルーティングされました。CertiKはXで詳細を提供しました：

#CertiKInsight 🚨 Our alert system detected two 200 ETH transactions sent to Tornado Cash linked to the ongoing @COLDCARDwallet attack. The funds were bridged from BTC to ETH address 0x41B7529a411EeA979a8d468bdEBd36b0ad703268 via THORChain before being sent to Tornado Cash. pic.twitter.com/JLazHWIEvo
— CertiK Alert (@CertiKAlert) August 5, 2026

CertiKは、これらの転送の一部が模倣犯によるものかもしれないと示唆しました。CertiKの報道官は次のように述べています。「小規模なエクスプロイターだと思われます。最初のエクスプロイトの後、いくつかの模倣犯が存在する可能性があります。」

TRM Labsは、盗まれた資金の大部分が少数の攻撃者が管理するウォレットに集中していることを確認しました。各攻撃波の構造的な違いは、少なくとも15人の別々の攻撃者がこの脆弱性を悪用したことを示しています。単一の欠陥から独立した攻撃者が増殖したことは、潜在的な暗号学的弱点がひとたび公に発見可能になると、どのように連鎖的な脅威になり得るかを示しています。

DragonflyのマネージングパートナーであるHaseeb Qureshiは、一部のAIモデルがこの根本的な脆弱性を20分未満で再発見したと指摘しました。彼は、約2ドル相当のAIベースのハードニング（強化）でこのエクスプロイトを完全に防げたかもしれないと示唆しました。

セキュリティ専門家は、影響を受けたユーザーにとってファームウェアの更新だけでは不十分であると警告しています。侵害されたデバイスでウォレットを生成した人は、安全なデバイスで完全に新しいウォレットを作成し、直ちにすべての資金を移すことをお勧めします。

Coldcardのエクスプロイトは現在、2026年で3番目に大きい暗号通貨ハッキングとしてランク付けされています。