Galaxy Researchの新しいデータによると、Coldcardハードウェアウォレットの窃盗によるビットコインの損失は1億1,500万ドルを超えた。

Galaxy Researchは日曜日にXで、被害者を支援し攻撃者に関する情報を収集するため、200人を超える被害者と話したと述べた。同社は、損失額は攻撃発生時点のビットコイン価格に基づいていると説明した。

Coldcard losses have exceeded $115M (based on the price when coins were stolen)

Galaxy Research has spoken with 200+ victims to support them and gather intelligence on the attackers

This thread contains additional charts and info pic.twitter.com/H2K141mugF

— Galaxy Research (@glxyresearch) August 16, 2026

ハッカーは7月31日、Coinkiteの人気ハードウェアウォレット「Coldcard」に保管されたビットコインの窃取を始めた。このカナダ企業によると、Coldcard Mk3デバイス――2021年3月のバージョン4.0.1で導入――のファームウェアのバグにより、シード生成がハードウェアの真性乱数生成器ではなく脆弱なソフトウェアの疑似乱数生成器にフォールバックし、攻撃者が事実上、投資家のシードフレーズ（ビットコインウォレットへのアクセスを制御するリカバリー用の単語群）を推測できるようになっていた。強力なランダム性はハードウェアウォレットのセキュリティの基盤である。Coldcardのようなデバイスはプライベートキーをオフラインで生成・保管するよう設計されており、予測可能なシードは、デバイスが前提とする安全な鍵生成を無効化してしまう。乱数の不備がビットコイン保有者に被害を与えたのは今回が初めてではない。2013年にはAndroidの乱数生成器の脆弱性により、一部のAndroidウォレットアプリの鍵が予測可能となり、ユーザーはコインを移動するよう警告された。

犯罪者がより新しいデバイスを標的にするにつれて損失総額は徐々に増加しており、Coinkiteや他のビットコイナーはColdcardユーザーに対し、直ちに資金を移動するよう求めている。

Galaxy Researchは先週、少なくとも15人の別個の攻撃者がこのバグを独立して悪用していたと推定した。同社の以前の調査では、窃盗された典型的なコインは3.5年間手つかずのままであり、注目すべきことに窃取された資金の88%は少なくとも1年以上保管されていた。これは、脆弱に生成されたシードは時間が経過してもリスクが消えるわけではなく、資金がそのまま置かれている限り推測可能であり続けることを示している。Galaxy Researchは窃取額の確認を今も進めており、総損失は1億3,000万ドルを超える可能性があるとしている。

攻撃以降、慎重な投資家はコインを取引所を含む他の保管ソリューションへ移動させている。これは、ビットコインを第三者ではなくユーザー自身の管理下に置くセルフカストディを核心的目的とするデバイスの保有者にとって、注目すべき変化である。

Coinkiteは今週の声明の中で、ソフトウェアのバグは「静かに見過ごされていた」ものであり、製品の「リリースごとにその潜在的な影響は拡大していった」と述べた。最初のハックから数日後、同社は投資家に対し、ソフトウェアを更新するか、この人気ハードウェアウォレットから資金を移動するよう促した。

本記事はBitcoin Magazineに最初に掲載されたもので、Mathew Di Salvoが執筆した。出典：Bitcoin Magazine