攻撃者はColdcardハードウェアウォレットから約1,367 Bitcoinを流出させ、その推定価値は約USD 85 millionに上ります。原因は、Coldcardデバイスが暗号鍵を生成する方法にある脆弱性であり、セルフカストディの概念に大きな打撃を与えました。

ハードウェアウォレットは、暗号資産の保有に必要な秘密鍵を完全にオフラインで生成し保存する物理デバイスです。鍵は、送金の承認時であってもデバイスの外に出ません。この方式は銀行や取引所に依存せず、利用可能な中で最も安全な保管方法と広く見なされています。カナダ企業Coinkiteが製造するColdcardは、Bitcoin専用に作られた最も著名なハードウェアウォレットの1つであり、セルフカストディやプライバシー重視のコミュニティで広く推奨されてきました。しかし、5年以上にわたり、ファームウェアの不具合によってこれらのデバイスが生成する鍵は予測可能な状態になっていました。

Coldcardの脆弱性が秘密鍵を計算可能にした仕組み

Bitcoinウォレットへのアクセスは、1つの乱数に左右されます。その乱数から、デバイスはシードフレーズを導出します。これは、BIP-39標準に準拠した12語または24語の復元用単語で、事実上すべてのハードウェアウォレットメーカーが用いる業界標準の仕様です。これらの単語は、緊急時に保有資産全体を復元できます。しかし、その最初の数値が真にランダムでなければ、第三者が再計算できます。

Coldcardデバイスでは、内蔵STM32マイクロコントローラー内のハードウェア乱数生成器が、この重要な役割を担うはずでした。STM32は、STMicroelectronicsの広く普及したチップファミリーで、組み込みシステム全般で利用されています。しかし、ビルド設定により、この生成器は無効化されていました。さらに、libnguライブラリ内のチェックルーチンは、その設定が存在するかどうかしか確認せず、実際に有効かどうかは確認していませんでした。その結果、ファームウェアは代替のエントロピー経路にフォールバックしました。この代替経路は、マイクロコントローラーのシリアル番号、システムカウンター、リアルタイムクロックのレジスタからエントロピーを取得していました。これらの値はいずれも秘密ではなく、攻撃者はUSB経由でシリアル番号の一部を読み取れます。Mk3モデルでは、システムカウンターが取り得る値は約80,000通りにすぎず、4桁のPINよりもはるかに小さく、探索空間は暗号学的に安全とされる水準を大きく下回っていました。式を知る者であれば、鍵を再構成できます。

影響を受けるウォレットは、2021年3月1日以降に脆弱なファームウェア上でシードが生成されたものです。これは主にシングルシグネチャのウォレットに当てはまりますが、関与するすべてのデバイスが影響を受けていれば、マルチシグ構成も脆弱です。同じ不具合のあるエントロピー源は、ペーパーウォレットの鍵、XORシードマスク、デバイスクローンの暗号化、Web2FAシークレット、保存済みパスワードにも使われていました。影響を受けたデバイスで作成されたあらゆる秘密情報は、漏えいしたものとして扱う必要があります。

これまでに1,367 Bitcoinが流出

最初の流出は7月30日未明にかけて発生しました。件数の数え方にもよりますが、約41分の間に594 BTCから1,083 BTCが500から1,200のアドレスから移動しました。その後も数日間にわたり追加の波が続き、3回目についてGalaxy Researchは207.73 BTCを報告しています。全体では、被害は4,585の影響アドレスから約1,367 BTCに達しています。

しかし、流出はまだ終わっていません。8月3日、Galaxy Researchは第4波の疑いを報告し、当初は462アドレスから388.93 BTCとされました。その後、修正値では709アドレスから448.73 BTCとされました。最初の暫定集計では、動きはブロック960,778から960,792に集中しており、これはおよそ2時間半に相当します。したがって、1ブロックあたりのスイープ取引数は約13.8件で、事件前の約45倍です。この波が確定すれば、損失は約1,816 BTC、約USD 113 millionに増加します。

流出後の動きも注目されています。特定された受取アドレスでは、これまで何も移動していません。この規模の盗難としては異例です。アナリストはさらに、約600の সন্দ? suspicious addresses を法執行機関、コンプライアンス企業、サイバーセキュリティ調査員に共有しています。

Coinkite、新しいファームウェアを提供し出荷を停止

製造元のCoinkiteは7月下旬にこの不具合を認め、8月初旬にもセキュリティ勧告を更新しました。ただし同社は、同勧告の中で流出との直接的な関連は確認していません。警告の対象は、バージョン4.0.1から4.1.9のMk2およびMk3モデルです。Standard 5.6.0またはEdge 6.6.0Xより前のMk4およびMk5も影響を受けます。同様に、Standard 1.5.0QまたはEdge 6.6.0QXより前のQモデルも対象です。現在は、影響を受けるすべてのモデル向けに修正版ファームウェアが用意されています。Mk2とMk3には4.2.0、Mk4とMk5にはStandard 5.6.0、Qには1.5.0Qが提供されています。

ただし、アップデートだけでは不十分です。古いシードは依然として計算可能だからです。Coinkiteは、影響を受けた利用者に対し、ファームウェアを更新し、新しいシードを生成するよう勧告しています。小さなテスト送金の後、利用者は残高を新しく生成したアドレスへ移し、その前に新しいバックアップを確認すべきです。移行を省略できるのは一部の利用者だけです。この例外は、初期設定時に独立したサイコロを少なくとも50回振って自分でシードを生成し、その結果をどこにも記録していない利用者に限られます。強力なBIP-39パスフレーズは、移行の代わりにはなりません。勧告によれば、それは追加の障壁としてのみ機能します。

同社はまた、新しいデバイスの出荷を停止し、影響を受けたファームウェアを搭載した残在庫を廃棄しました。

「すでにデバイスを受け取っていた影響顧客には、推奨事項と移行手順を直接連絡しました。現在の最優先事項は、影響を受けた利用者が安全に移行できるよう支援することです。」 - Coinkite, company statement

「すでにデバイスを受け取っていた影響顧客には、推奨事項と移行手順を直接連絡しました。現在の最優先事項は、影響を受けた利用者が安全に移行できるよう支援することです。」 - Coinkite, company statement

鍵の侵害がハッキング損失の大半を占める

より広い業界全体で見ると、この事件は例外ではありません。TRM Labsによると、2026年上半期に攻撃者が世界で奪った額は約USD 972 millionでした。前年同期間のUSD 2.3 billionと比べると、50％超の減少です。同時に、インシデント数は過去最多の207件に増加しました。2025年上半期は83件でした。被害総額は縮小していますが、攻撃件数は増えています。

損失は1つのカテゴリに集中しています。TRMによれば、インフラおよび鍵の侵害は全インシデントの約15％を占めるにすぎませんが、損失全体の約76％を生み出しています。Coldcardの事件はまさにこのパターンに当てはまり、特に鍵生成そのものが標的になった点が重要です。この段階での単一の誤りは、何年にもわたり数千台のデバイスへ波及します。

国家関与が疑われる主体が、単独では最大のグループです。LazarusやTraderTraitorのような北朝鮮関連グループは、TRMの報告では約USD 643 millionを占め、上半期の損失全体の約66％に相当します。その大半は4月のDriftとKelpDAOへの攻撃によるものです。したがって、Coldcardの事件が新たなリスクを生み出したわけではありません。既存のリスクがどこにあるかを示しているのです。鍵材料がどこで、どのように生成されるかが保有資産の安全性を決め、その後にそれがカストディアンの管理下に置かれるか、自宅のデバイス上に置かれるかは、その次の問題にすぎません。