Coldcardのシード生成の脆弱性に関連する推定被害額が、Galaxy Researchのオンチェーン分析により、約8860万ドルに相当する1,367.05 Bitcoinに達したことが判明した。更新された数値は、3つ目の容疑盗難クラスターの特定に続くものである。Coinkiteが製造するColdcardは、エアギャップ設計とセルフカストディ推進者の間での人気で知られる、広く使用されているBitcoin専用ハードウェアウォレットである。

A 3rd wave in what we suspect are hacks of Coldcard-generated addresses has been identified in which 207.7294 BTC has been drained. Our estimated observed size of the Coldcard hack is now 1,367.05 BTC (~$88.6m) across 4,585 addresses. More updates in the thread below pic.twitter.com/g6xA4OOi2f

— Galaxy Research (@glxyresearch) August 1, 2026

最新の攻撃波では207.7294 BTCが流出し、当初はるかに小さい推定値から始まった調査が拡大した。初期の報告では、約500のウォレットにわたり、当時約3800万ドルと評価されていた594 BTC付近に被害額を置いていた。

Galaxyはその後、7月30日の41分間の時間枠内で実行された、1,196のアドレスから1,082.65 BTCに及ぶより大規模な組織的一掃を再構築した。これらのトランザクションは6つのブロックにまたがっており、資金が調整されたバッチで移動される前に、脆弱な鍵が事前に特定されていたことを示唆している。

オンチェーン推定は4,585のアドレスをカバー

現在の推定は4,585のアドレスにまたがる。Galaxyは、攻撃者が管理するエンドポイントがオンチェーンで未使用のまま保持していた1,366.3865 BTCを報告した。同社はこの活動を容疑ハックと分類しており、合計は被害者ごとの確認された集計ではなく、オンチェーン推定を表している。

推移する合計値は、暗号通貨盗難調査における一般的な課題を浮き彫りにする。アナリストは、被害者のウォレットを攻撃者の送金先および中間転送と区別しながら、新しいアドレスクラスターを関連付ける必要がある。その全過程で、同じ資金が二重にカウントされるのを防がなければならない。盗まれた資金が静止したままの場合、この作業はさらに困難になる。調査者は、その後の転送に頼って所有権パターンを明確にすることができないからだ。それにもかかわらず、未使用残高は容疑盗難の全体的な規模の目に見える記録を提供している。

根本原因：シードの乱数の妥協

この攻撃は、デバイスへの物理的アクセス、マルウェア、または盗まれたリカバリーフレーズに依存するものではなかった。代わりに、脆弱性は影響を受けたデバイスが各ウォレットを制御する暗号シードを生成した瞬間に発生した。

2021年のソフトウェア統合により、シード作成が意図されたハードウェア乱数生成器ではなく、MicroPythonの決定論的フォールバック乱数生成器にリダイレクトされた。このエラーにより、新しく作成されたウォレットを保護するエントロピーが大幅に減少した。欠陥が2021年に導入されたため、複数年にわたるデバイス使用で生成されたシードが影響を受ける可能性があり、潜在的な露出期間が大幅に拡大した。

旧型のColdcard Mk2およびMk3ユニットは、推定40ビットの有効検索空間を生成した。新型のMk4、Q、およびMk5モデルは約72ビットに達したが、これは意図された128ビットをはるかに下回るものであった。

Blockのエンジニアリングおよびセキュリティチームは、この弱点を同じファームウェアパスにまで追跡した。彼らのレビューにより、デバイス識別子、タイマー状態、および以前の生成器呼び出しを使用して、可能なシード出力の範囲を絞り込めることが判明した。攻撃者は候補となるシードストリームをオフラインで再現し、導出された公開アドレスを公開されているブロックチェーン記録と比較できた。この手法により、デバイスがエアギャップ化され、バックアップがオフラインで保管されていても、ウォレットが露出した。

ファームウェアは修正されたが、既存のシードは引き続き脆弱

Coldcardの製造元であるCoinkiteは、8月1日に影響を受けるデバイスの範囲を拡大し、影響を受けるすべての製品ラインにわたって修正ファームウェアをリリースした。ただし、更新されたソフトウェアのインストールは、欠陥のある乱数生成の下で作成されたシードを遡及的に強化することはできない。

影響を受けるユーザーは、修正済みファームウェアで新しいシードを生成し、バックアップと受信アドレスを確認し、全額を移動する前に少量のテストトランザクションを送信することが推奨される。テストの確認後のみ、残りの資金を移動すべきである。

少なくとも50回の公正で独立したプライベートなサイコロの振りを使用して作成されたシードは、この特定の欠陥によって危険にさらされていないと見なされる。強力なBIP-39パスフレーズは追加の保護を提供するが、新しいシードへの移行が推奨される対応策である。

CoinkiteのTAPSIGNER、OPENDIME、およびSATSCARD製品は、異なるコードベースに依存しているため影響を受けていない。マルチシグネチャ構成は同等のリスクを軽減できるが、十分な数の署名鍵が独立して妥協されていないソースから提供される場合に限られる。

この事象は、ハードウェアの分離がシークレットの作成後には効果的に保護するものの、生成時点での弱い乱数を修復することはできないことを示している。乱数生成の失敗は、秘密鍵の基盤層を損なうため、暗号通貨のセキュリティ欠陥の中で最も影響の大きいクラスの一つに位置付けられる。この場合、ウォレットの最も重大な脆弱性は、最初のトランザクションが署名される前に存在していた。