ブロックチェーン・セキュリティ・プラットフォームCertiKによると、最近のColdcard悪用に関連する約64 Bitcoin（417万ドル相当）と200 Ether（38万ドル相当）が暗号資産ミキシング・プロトコルに送金された。

CertiKが共有したブロックチェーン・データによると、Bitcoinは火曜日にアドレスbc1q0からWasabiミキシング・プロトコルへ移動された。200 Ether（ETH）は水曜日にTornado Cashへ送金されたと、CertiKのX投稿で報告されている。

「おそらく小規模な攻撃者だと思われます。最初の悪用の後、いくつかの模倣犯が存在する可能性があります」と、CertiKの広報担当者はCointelegraphに語った。

Tornado Cashなどの暗号資産ミキシング・プロトコルは、複数ユーザーのデジタル資産をプールして攪拌し、送信者と受信者間の公開されているオンチェーンの追跡可能なリンクを断ち切る。このプロセスにより、盗難資金の追跡が著しく困難となり、資産回収の可能性が低下する。

この手法は4月の類似した資金洗浄操作を想起させる。当時、2億9,300万ドルのKelp DAOハッキングを主導した攻撃者は、当時1億7,500万ドル相当であった約75,700 Etherを主にTHORChain経由で洗浄し、プロトコルに約91万ドルの手数料収入をもたらした。この攻撃者はUmbraプライバシー・プロトコルも利用していた。

Coldcardの悪用は現在、2026年の暗号資産ハッキングで3番目の規模となっている。Galaxy Digitalによると、3つの確認された攻撃波で7,300の被害ウォレットから少なくとも1億ドルのBitcoinが奪取された。同社はさらに、総損失をBTCで約1億3,000万ドルに引き上げる可能性のある疑われる第4の波も特定した。トロントに拠点を置くCoinkiteが製造するColdcardは、エアギャップ設計によりBitcoinのセルフカストディ提倡者の間で広く使用されており、この悪用はハードウェアウォレットのセキュリティに対する信頼に特に大きな打撃を与えている。

大半の模倣攻撃者は盗難資金を移動させていない

木曜日に発表されたレポートによると、TRM Labsが実施したオンチェーン追跡により、被害資金の大半は限られたミキシング試行とともに少数の攻撃者管理アドレスにプールされたままであることが明らかになった。現時点でミキサーを通じて移動された資金量が比較的少ないことは、ブロックチェーン分析業者や法執行機関が資金洗浄前に残存資産を追跡・凍結するための限られた猶予を残している。

ブロックチェーン・インテリジェンス企業は、各攻撃波における「トランザクション構成の違い」が、複数の攻撃者がこの悪用に関与したことを示唆していると指摘した。これは、Coldcardの脆弱性を悪用した少なくとも15人の異なる攻撃者を特定したGalaxy Digitalの以前の調査結果と一致している。

TRM Labsは、2021年3月に起源を持つファームウェア・バグが一部のColdcardウォレットのシード乱数を弱体化させ、鍵の強度を128ビットから40ビットに低下させ、ウォレットを「物理的アクセスなしで総当たり攻撃が可能」にしたと判断した。この脆弱性は約5年間にわたり検出されないままであり、その期間中、影響を受けたウォレットは計算上解読が可能な鍵を生成していた。

Dragonflyのマネージング・パートナーであるHaseeb Qureshiは次のように記した。一部のAIモデルがこの攻撃につながった根本的な脆弱性を20分未満で再発見したというソーシャルメディアでの報告を引用し、約「2ドルのAI強化」でColdcardの悪用を防げた可能性があると述べた。