Coldcardのビットコイン脆弱性攻撃が8,860万ドルに拡大、攻撃者が脆弱なウォレットからの資金流出を継続
重要ポイント
- •Galaxy Researchは、脆弱なColdcardハードウェアウォレットからの窃盗第3波を受けて、4,585のアドレスにわたる約8,860万ドルのビットコイン窃盗を追跡している。
- •この脆弱性は2021年3月のCoinkiteファームウェアビルドエラーに起因し、シードフレーズが不十分な乱数で生成され、プライベートキーが推測可能となっていた。
- •Galaxyは約600の攻撃者疑いのあるアドレスを連邦捜査機関、コンプライアンス企業、業界横断的なサイバー調査機関に通報した。
- •盗まれたコインは組織的に持ち去られるまで平均3.18年間手つかずのまま放置されており、被害者が主に長期保有者であったことを示している。
- •カナダ人コーチのJonathan Goodmanは、インターネットに接続されたことのないセーフティボックスにデバイスを保管していたにもかかわらず、約160万カナダドル相当の18.25 BTCの損失を報告した。
Coldcardハードウェアウォレットの脆弱性を突いたビットコイン窃盗は、現在も進行中かつ深刻化する脅威であり、Galaxy Researchは3つの波にわたって4,585のアドレスから約8,860万ドル相当の窃盗資金を追跡している。
土曜日、Galaxy Researchは207.73 BTCが流出した第3波の窃盗を特定したと発表し、観測総額は4,585のアドレスに分散した約1,367 BTC（約8,860万ドル相当）に達した。同社はこのexploitを進行中と断定し、Coldcardデバイスでシングル署名資金を保有するすべての者に対し、直ちに移動させるよう促した。
Galaxyは、約600の攻撃者疑いのあるアドレスを連邦捜査機関、コンプライアンス企業、業界横断的なサイバー調査機関に通報したと発表した。同社は、取引詳細を共有した被害者に対し、盗難資金の追跡に使用されたオンチェーンパターンのマッピングに貢献したと評価した。
「引き続き調査を行い、調査データベースに新たなColdcardの被害者および攻撃者のアドレスを追加している」と、Galaxyの研究部門責任者Alex ThornはXの投稿で述べた。「攻撃は進行中である。Coldcardで生成されたアドレスから直ちに資金を移動させよ。まだ行っていない場合は今すぐ実行されたい。」
i continue to investigate and add new Coldcard victim and attacker addresses to our investigation database tonight
THE ATTACK IS ONGOING -- move your funds off Coldcard-generated addresses immediately if you have not done so. i will provide additional updates on estimated…
— Alex Thorn (@intangiblecoins) August 2, 2026
この脆弱性は、Decryptが以前報告したように、Coinkite製デバイスの2021年3月のファームウェアビルドエラーに起因している。この欠陥により、シードフレーズが極めて不十分な乱数で生成され、プライベートキーが推測可能となっていた。シード生成における適切なエントロピーはすべての暗号通貨セキュリティの基盤であるため、乱数性の欠如は、ハードウェアウォレットが提供するよう設計された中核的な暗号学的保証を損なうものであった。エアギャップされ、インターネットに接続されたことのないデバイスであっても同様である。
Thornは、ウォレットからの資金掃引が意図的かつ計画的に行われているように見え、大規模言語モデルの支援を受けて実行されている可能性が高いと記した。彼は、2021年のファームウェア更新後に作成されたすべてのシングル署名Coldcardアドレスが最終的に流出させられるだろうと警告し、それは時間の問題にすぎないと述べた。
Thornはまた、盗まれたコインが持ち去られる前に平均3.18年間手つかずのまま放置されていたことを指摘し、被害者が主に長期保有者であったことを強調した。ファームウェアの導入から現在の不正利用に至るまでの数年間の空白は、アドレスがこれほど長期にわたって蓄積された後に組織的に標的にされた理由を説明する一助となる。3つの記録された波の資金は攻撃者のアドレスに留まったままであり、まだ移動していない。
この事態は影響を受けたユーザーの間に広範な動揺を引き起こし、セキュリティ専門家は資金を新規アドレスに移動する際の慎重な対応を求めている。多くのユーザーがビットコインを自己保管的なウォレットから引き上げ、CoinbaseやBinanceなどの中央集権型暗号通貨取引所や、新しく生成したアドレスへ急ぎ移動させている。これは業界で馴染みのある「not your keys, not your coins（あなたの鍵でなければ、あなたのコインではない）」という理念の逆転である。
一部のユーザーにとっては警告が遅すぎた。カナダ人コーチのJonathan GoodmanはXの投稿で、7月29日に7分間の間に18.25 BTC（約160万カナダドル相当）がウォレットから持ち去られたと述べた。彼のキーはインターネットに接続されたことのないセーフティボックスに保管されていたにもかかわらずである。
$1.6 million dollars in Bitcoin was drained from my account on July 29th in the Cold Card wallet hack.
My Bitcoin was in cold storage. My Keys were on a ColdCard device kept in a safety deposit box that had never been connected to the internet.
This part's nerdy, but here's…
— Jonathan Goodman 🇨🇦 (@itscoachgoodman) August 1, 2026
「おそらくこれで最も辛いのは、自分はすべて正しく行っていたということだ」とGoodmanは書いた。彼はさらに、警察およびオンタリオ証券委員会に報告書を提出していると付け加えた。