X上の投稿が、投稿内で1億1,600万ドルと評価された1,816 BTCの盗難を、Coldcardハードウェアウォレットの脆弱性によるものとした。この投稿は、ハードウェアウォレットの脆弱性を損失の原因と特定したものの、脆弱性そのものに関する追加の技術的詳細、事件の経緯、影響を受けたユーザーの身元については何も示していない。

報告されたColdcardのセキュリティインシデント

Coldcardは、Bitcoinのオフライン保管と署名機能を提供するために設計されたハードウェアウォレットである。こうしたデバイスは一般に、秘密鍵をインターネットに接続された機器から隔離し、特定の種類のオンライン攻撃への露出を減らす目的で使用される。このウォレット製品はCoinkiteが製造しており、完全なエアギャップ方式のワークフローに対応している。この方式では、トランザクションはコンピュータとの直接接続ではなく、microSDカードを通じてデバイスとの間で受け渡しされる。

X上で共有された情報によると、Coldcardハードウェアウォレットに関わる脆弱性が1,816 BTCの盗難に関連しており、投稿ではこのBitcoinが1億1,600万ドルと評価されていた。

疑いのある盗難がいつ発生したのか、脆弱性がどのように悪用されたのか、特定のColdcardのモデルやバージョンが影響を受けたのかについては、追加の情報が提供されなかった。投稿はまた、報告された脆弱性がメーカーによって特定、開示、または対応済みかどうかについても述べていない。

長年にわたり、複数ベンダーのハードウェアウォレットは独立系のセキュリティ研究の対象となっており、ファームウェアの弱点、サプライチェーンリスク、物理攻撃やサイドチャネル攻撃などを含む公開情報開示が行われてきた。メーカーは通常、ファームウェアのアップデートやハードウェア設計の改訂で対応してきた。今回のケースでは、技術的詳細が欠如しているため、提供された情報からは報告された損失の背後にある正確なメカニズムを確定できず、利用可能な主張は、Coldcardの脆弱性と記載された額のBitcoinの損失との間に報告された関連性にとどまる。

セルフカストディは保持者にセキュリティ責任を負わせる

暗号資産のセルフカストディでは、ユーザーは中央集権型取引所やその他の第三者保管機関に依存するのではなく、デジタル資産を直接管理できる。この構造は秘密鍵に対するより大きな管理権をもたらしうる一方で、資産の保持者にセキュリティ責任も課す。

ハードウェアウォレットは、インターネットに接続されたコンピュータやスマートフォン上に秘密鍵を保管するリスクの一部に対処するよう設計されている。通常、トランザクションはハードウェアデバイス上で署名され、機密性の高い鍵情報は接続されたコンピュータから隔離された状態に保たれる。

ただし、ハードウェアベースのカストディはすべてのセキュリティリスクを排除するものではない。脆弱性は、デバイスのソフトウェア、ファームウェア、物理的アクセス、トランザクション署名プロセス、他のシステムとの相互作用から生じる可能性があり、具体的なリスクは個々の脆弱性の性質に依存する。

報告されたColdcardのインシデントは、ユーザーが資金を直接管理する場合に、カストディシステムがどのように秘密鍵を保護するのか、そしてセキュリティ上の弱点がデジタル資産にどのような影響を及ぼしうるのかを理解することの重要性を浮き彫りにしている。

Bitcoin盗難が潜在的損失の規模を浮き彫りに

報告された1,816 BTCの損失は、大口の暗号資産残高を伴うセキュリティ侵害がもたらしうる金銭的影響の大きさを示している。Xの投稿で引用された評価額では、盗まれたBitcoinは1億1,600万ドルの価値があった。個人のハードウェアウォレットの脆弱性に起因するとされるこの規模の盗難が公に報告される事例は、中央集権型プラットフォームへの侵害ほど多くない。文書化された史上最大級の暗号資産盗難は概して取引所や保管機関を対象としており、中でも特に知られるのは2025年2月のBybit取引所への侵害で、約15億ドル相当のetherが盗まれ、FBIはこれを北朝鮮のLazarus Groupによるものと特定した。

Bitcoinのトランザクションは、ネットワーク上で一度確認されると原則として取り消せないように設計されている。そのため、不正送金後の資産回収は、特に受取人の身元や所在が不明な場合には困難になりうる。

この報告は、1,816 BTCの一部でも回収されたのか、当局やその他の当事者が疑いのある盗難を調査しているのかについて示しておらず、影響を受けたユーザー数に関する情報も提供していない。

セルフカストディソリューションを利用するBitcoin保有者にとって、このインシデントは、秘密鍵の保護には単にデバイスをオフラインに保つことにとどまらないリスクが伴うことを想起させる。Coldcardユーザーへの影響の全容を判断するには、報告された脆弱性の技術的詳細、すなわち原因と範囲が必要だが、これらは開示されていない。主要な未解決の疑問としては、Coinkiteがこの報告を確認するのか否定するのか、ファームウェアまたはハードウェアの修正が行われるのか、そしてオンチェーン分析や法執行機関の活動によってこの損失が公に裏付けられるのかどうかが挙げられる。

出典:Hokanews