Coldcardの損失が1億3000万ドルに迫る中、ハードウェアウォレット各社がフィッシングの急増を警告
重要ポイント
- •Coldcardの脆弱性は2021年3月のファームウェアビルドに起因し、デバイスのハードウェア乱数生成器ではなくソフトウェアのフォールバックが使用されたことで、秘密鍵が予測可能で推測可能な状態となっていた。
- •Galaxy Researchは3波の窃盗で少なくとも1,596 BTC、1億ドル超の損失を確認しており、疑われている第4波を含めると総額は1億3000万ドルに達する可能性がある。
- •Proofpointは偽装されたColdcardメールを用いたフィッシングキャンペーンを記録し、被害者をクローンサイトへ誘導した上で、ライブ対応のチャット担当者がリモートアクセスマルウェアのインストールを支援している。
- •少なくとも15人の個別の攻撃者が現在Coldcardの脆弱性を悪用しており、第1波以降のすべての窃盗波は被害者からの報告によって特定された。
- •Coinkiteは修正済みファームウェアをリリースしており、影響を受けるすべてのユーザーに対して直ちに新しく生成したウォレットシードまたはカストディアンへ資金を移すよう助言している。
ハードウェアウォレットメーカーのTrezorとFoundationは、Coldcardファームウェアの脆弱性を悪用したフィッシング攻撃の急増について警告を発した。詐欺師はユーザーのリカバリーフレーズの奪取と悪意あるダウンロードの配布を狙っている。これらのキャンペーンはセルフカストディユーザーにとってより広範なリスクを浮き彫りにしている。ハードウェアウォレットは個人が自身の秘密鍵を管理するよう設計されているため、ウォレットの12語または24語のリカバリーフレーズを入手した者は、物理デバイスがなくても資金を移動できる。
Trezorは、Coldcard脆弱性の公開後すでにフィッシング攻撃の増加を観察していると報告し、ウォレットのバックアップはデバイス上でのみ入力するようユーザーに助言するとともに、自社のハードウェアは当該脆弱性の影響を受けないことを改めて表明した。Foundationは、同社を偽装した電子メールが受信者を偽サイトや悪意あるダウンロードへ誘導していることを把握したと述べ、リカバリーフレーズを要求することやウォレットを保護するためのソフトウェアインストールを指示することは決してないと強調した。
セキュリティ企業のProofpointは月曜日に、Coldcardユーザーを標的とするフィッシングキャンペーンを記録した。偽装されたColdcardのアドレスから送信された電子メールは、受信者に「協調ハードウェア監査」の完了を促し——これはセキュリティインシデントそのものから借用されたテーマである——「ハードウェア監査を開始」ボタンを備えたColdcardのクローンサイトへ誘導する。
A COLDCARD hardware wallet vulnerability is being exploited by threat actors. The reported firmware flaw has led to tens of millions worth of Bitcoin stolen. We've observed social engineering w/ "hardware audit" themes impersonating #COLDCARD in email-based phishing campaigns. pic.twitter.com/1KSfZW3H2N
— Threat Insight (@threatinsight), August 3, 2026
ボタンをクリックすると、GitHub上でホストされているバッチファイルがダウンロードされ、ScreenConnectという正当なリモートアクセスツールがインストールされる。Proofpointは、これにより攻撃者はデータや資金の窃取への経路を得るほか、ランサムウェアなどの二次的マルウェアの展開も可能になると述べた。
偽サイトはカスタマーサービスのチャットウィンドウも備えており、Proofpointの報告によれば、自動ボットではなく実際の人物が対応し、被害者にインストール手順を段階的に案内している。Proofpointは本キャンペーンを効果的なソーシャルエンジニアリングの手口と評価し、暗号資産のセキュリティに対する保有者の「恐怖と不安を利用」しているためとしている。
手口の背景にある脆弱性
Coldcardの脆弱性は、2021年3月のファームウェアビルドに起因する。このビルドでは、デバイスのハードウェア乱数生成器ではなくソフトウェアのフォールバックからウォレットシードが生成されており、秘密鍵が予測可能、ひいては推測可能な状態となっていた。Coinkiteが製造するColdcardは、エアギャップ設計とオープンソースファームウェアにより、セルフカストディの支持者に人気のあるビットコイン専用ハードウェアウォレットである。
Galaxy Researchは7月30日以降に3波の窃盗を確認し、確度の高い損失を1,596 BTC、1億ドル超と推定している。同社が疑っているものの被害者との確認が取れていない第4波を含めると、総額は1億3000万ドルに達する可能性がある。
Galaxy Researchの研究部門責任者であるAlex Thornは火曜日、少なくとも15人の個別の攻撃者が現在この脆弱性を悪用していると述べ、第1波を除くすべての波が被害者からの報告によって特定されたとした。ColdcardメーカーのCoinkiteは修正済みファームウェアをリリースし、影響を受けるユーザーに対して直ちに新しく生成したシードへ資金を移すよう助言している。
常套の手口
フィッシングキャンペーンは近年、ハードウェアウォレットの所有者を標的とするために多様な手法を用いてきた。2月にはTrezorとLedgerのユーザーが、両社を偽装した郵便物キャンペーンの標的となった。ホログラムや偽造された役員署名が添えられ、すべてが捏造された期限を中心に構築されていた。4月には偽のLedgerアプリが保有者から数百万ドルを奪い、3月には偽のGitHubイシューを用いて開発者を偽サイトへ誘導するキャンペーンが実行された。このパターンは、攻撃者がセキュリティ情報の公開後に生じる恐怖を組織的に利用し、ユーザーが最も緊急に行動しがちなタイミングに合わせて手口を仕掛けていることを示している。
Galaxy ResearchはColdcardの脆弱性悪用が継続していると述べ、保有者に対して新しいシードまたはカストディアンへ資金を移すよう促した。これにより、脆弱性が悪用され続ける限り、関連するフィッシングの手口は長期にわたり有効であり続ける可能性がある。