Coinkiteが3800万ドルのビットコイン移転報告を受けColdcard Mk3にセキュリティ勧告を発表

2026年7月30日、約594 BTC（約3800万ドル相当）が、約25分の間に約500のシングル署名アドレスから移転された。これらのウォレットの多くは長年休眠状態にあり、個別の残高は通常0.15〜0.26 BTCの範囲であった。この組織的な動きはビットコインコミュニティの即座の注目を集めた。長期間活動していないウォレットが短時間で体系的に一掃されるというパターンは、独立した所有者が同時に行動したというよりも、攻撃者が共通の脆弱性を悪用したことを示唆することが多い。

Coinkiteは、約600 BTCの移転がColdcard Mk3ハードウェアウォレットに対して発表したセキュリティ勧告と直接的に関連しているかどうかをまだ確認していない。ただし、この活動のタイミングと規模により、同社は対応に動いた。

Coinkiteの対応

業界内でNVKとして広く知られるCoinkiteのCEO、Rodolfo Novakは、同社が調査に多大なリソースを投入していると述べた。「We are all hands on deck doing a deep dive on everything, technical post soon（総力を挙げてすべてを深く調査中。技術的な投稿は近日公開）」とNovakはXで語った。また、報告を受けて同社のコミュニケーションチャネルが問い合わせで「爆撃」されたと述べた。

別の更新情報で、Novakは次のように述べた。「We've done alot of investigation about the COLDCARD reports, blog post incoming（COLDCARD報告について多くの調査を行った。ブログ投稿を準備中）」

影響を受けるデバイス

同社のブログに公開されたセキュリティ勧告によると、影響を受ける可能性のあるデバイスは具体的にMk3モデルに限定される。2021年3月にリリースされたファームウェアバージョン4.0.1から、Mk3をサポートする最終リリースであったバージョン5.0.3までを実行するMk3でシードフレーズを生成したすべてのユーザーが影響を受ける可能性がある。

Coinkiteは、初期分析によりMk4、Q、Mk5モデルは影響を受けないことを示していると述べた。

同社はこの勧告を予備的な調査結果を反映したものと説明し、調査の進展に伴い正式な技術レビューを公開すると述べた。コミュニティの研究者らは、インシデントに関連するオンチェーン活動を独自にレビューしている。議論の多くは、サプライチェーン侵害ではなく、特定の古いMk2およびMk3ファームウェアバージョンでのシード生成における乱数の弱さの可能性に焦点を当てている。ハードウェアウォレットの乱数生成器の完全性は、そのセキュリティ目的の基盤である。シードのエントロピーが予測可能または重複している場合、攻撃者はデバイスへの物理的アクセスなしに秘密鍵を再構築する可能性がある。公開時点において、Coinkiteは根本原因を確認していない。

パスフレーズユーザーのリスク評価

BIP-39パスフレーズ（デバイスのPINとは異なるユーザーが追加するフレーズ）で保護されたウォレットは、Coinkiteの初期分析に基づき、最小限のリスクしかないと見られている。BIP-39パスフレーズはシードフレーズの上に重ねられた追加のエントロピー層として機能し、攻撃者がシード単独では導出できない別のウォレットを作成する。同社はパスフレーズユーザーに対して、そのフレーズの保護を続け、信頼できないデバイスやウェブサイトに入力しないよう助言した。

パスフレーズを使用していなかったMk3の所有者に対して、Coinkiteは影響を受けていないデバイスで生成された新しいシードへの移行を推奨した。同社はプロセスを急ぐべきではないと警告した。具体的には、まず少量のテスト取引を送信し、デバイス画面で新しいウォレットと受信アドレスを直接確認し、移行が完全に確認されるまで古いバックアップを保持することを推奨した。

Mk3のみを所有するユーザー向けの暫定的措置

Mk3が唯一のハードウェアデバイスであるユーザーに対して、Coinkiteは2つの暫定オプションを提示した：

• 強力でユニークなBIP-39パスフレーズを追加し、新しく保護されたウォレットに資金を移す。
• Mk3のダイスロールインポートパスを使用して代替シードを生成する。これはデバイスの乱数生成器をバイパスする。Coinkiteは、これは慎重な検証を要する高度な手順であると注記した。

完全な技術手順は同社のブログの勧告で確認できる。Coinkiteは調査が進行中であり、追加の詳細が公開されると述べた。

Coldcardはリリース以来、セキュリティ重視のエアギャップハードウェアウォレットとしての地位を確立しており、本件はデバイスの所有者が自身のセキュリティ設定を見直す中でビットコインコミュニティ全体で大きな注目を集めている。本インシデントは、セルフカストディにおけるより広範な課題を浮き彫りにしている。ハードウェアウォレットのセキュリティは、物理的な設計だけでなく、デバイスがこれまでに実行したすべてのバージョンのファームウェアの正確性にも依存している。