巨大なColdcardウォレットのエクスプロイトによる盗難ビットコインの損失は鈍化し始めたが、持ち去られたBTCの総量はなお増え続けており、最悪の事態はまだ終わっていない可能性がある。

これは、当初からこのエクスプロイトを追跡してきた暗号資産リサーチ企業Galaxy Researchによる最新情報だ。同社は木曜日、Coldcardのシード再生成エクスプロイトによってすでに1,778 BTC超、約1億1,200万ドルが流出したとし、最終的な数字はさらに大きくなる可能性が高いと述べた。

Galaxyは、この集計に「非常に高い確信」を持っているとし、X上の継続的なスレッドに基づき、7月30日の攻撃開始以降に確認され、所有者に帰属できる盗難のみを数えているという。

「攻撃者は少なくとも2026年7月30日早朝からこの攻撃を実行しており、Coldcardで生成されたシードを体系的に再現し、オンチェーンで資金を移動させています」とGalaxy Researchは記した。

Galaxyが確認した波と痕跡のいずれにも、8月6日以降の活動は見られない。これは手口が使えなくなったことを意味するのではなく、容易な標的が尽きたことを意味する。

盗まれて以降、資金の大半はほとんど動かされていない。少なくとも1,778 BTCが盗まれたが、そのうち1,531 BTCは攻撃者管理下のアドレスに残ったままである。盗難後に攻撃者が移動させたのは約246 BTCで、その65%はCoinjoin取引に流れた… pic.twitter.com/OHjJkr1x6D

— Galaxy Research (@glxyresearch) August 14, 2026

チェーンが示す内容

トロント拠点のCoinkiteが製造するColdcardは、ビットコイン専用のハードウェアウォレットで、秘密鍵を安全にオフラインで生成・保管するという前提で、自己管理を重視する利用者の間で長く人気があった。2021年のファームウェア更新では、Coldcardのシード生成がハードウェアの乱数チップからソフトウェアの代替処理へと静かに切り替えられ、鍵強度は128ビットから最小40ビットまで低下した。これは重要だ。なぜなら、シードはウォレットのマスター秘密情報であり、そこからすべての秘密鍵とアドレスが導出される復元フレーズだからだ。128ビットのエントロピーは総当たりで破るのが事実上不可能とみなされる基準だが、40ビットはそうではない。攻撃者はデバイスのシリアル番号と時計状態からシードを再構築し、フィッシングやマルウェアを使わず、さらには実機に物理的に触れることなく、コインを抜き取ることができた。

Galaxyの分析では、最初の大きな波であるWave 1が最も被害の大きい確認済みの波で、開始直後の数分間に1,195アドレスから1,082.65 BTCが引き出された。当時のビットコイン換算で約7,050万ドル相当が盗まれたことになる。

所有者確認済みの単独クラスタとして最大のFootprint Eは、2,148アドレスにわたって209.94 BTC（約1,330万ドル）を流出させ、Wave 3は1,912アドレスから208.24 BTC（約1,300万ドル近く）を奪った。

3つの確認済み波と41の小規模な痕跡を通じて、同社は5,200を超える枯渇したアドレスを把握している。ブロック962,304時点（8月13日時点のデータ）では、1,499.27 BTC（約9,390万ドル近く）が攻撃者の手元で未使用のままだった。

攻撃者の活動として確認され、確度が高い波と痕跡の中で、8月6日以降に発生したものはない。追加の被害者からは引き続きGalaxy Researchに報告が寄せられており（私たちは190人超と直接話している）、損失の直接的な帰属と追加の痕跡の確認に役立っているが、しかし… pic.twitter.com/8jEdFdJEog

— Galaxy Research (@glxyresearch) August 14, 2026

Galaxyが最終到達点まで追跡できたごく一部、174.97 BTCのうち、大半はCoinJoinのプライバシー強化ラウンドに流れ、少額がKuCoinとJump Cryptoに届いた。Galaxyは損失の帰属のために、190人超の被害者と直接話している。

「攻撃波の減少は、脆弱なユーザーが移行したか、あるいは資金の大半がすでに吸い尽くされたためと考えられる」と同社は記した。

同社は利用者への助言も繰り返した。「もしあなたが今もシングルシグネチャのColdcardウォレットに資金を保有しているなら、新しいアドレスへ資金を移すことを推奨します。」この警告がシングルシグネチャ設定を名指しするのは、マルチシグネチャウォレットでは支払い承認に複数の独立した鍵が必要であり、1つのシードが侵害されただけでは資金全体が露出しないためだ。

この事件はすでに、約150億ドル相当のビットコインをより安全な保管先へ移し、ウォレットのセキュリティはAI支援の発見に適応する必要があるとするLedgerの警告も招いた。ハードウェアウォレット企業各社も、この混乱に乗じたフィッシングの急増を指摘している。

Galaxyはなお未確認の第4波として638.5 BTCを候補に挙げており、これが確定すれば被害総額は2,417 BTC、現在価格で1億5,130万ドル超に達する。