COLDCARDのビットコインウォレットシード生成アルゴリズムにおける重大な脆弱性が、セルフカストディアルウォレットコミュニティ全体に深刻な懸念を引き起こしています。この脆弱性に潜在的に関連するウォレットから約594 BTC — 現在の市場価格で約4000万ドル — が盗まれたという報道が後を絶ちません。この発見は数百のハードウェアウォレットを危険に晒し、COLDCARD製品ラインを展開するCoinkite社からの緊急対応を引き出しました。COLDCARDデバイスはエアギャップ設計とオープンソースアーキテクチャによりビットコイン保有者の間で広く使用されており、この脆弱性はデバイスを長期のコールドストレージとして頼っているユーザーにとって特に重大な意味を持ちます。

COLDCARDが緊急セキュリティ勧告を発表

Coinkiteは、ファームウェアバージョン4.0.1以降を搭載したMk3デバイスで生成されたウォレットシードが悪用される可能性があるという緊急セキュリティ勧告を発表しました。

COLDCARD Mk3 Security Advisory

If you generated a seed on a Mk3 after firmware 4.0.1, your funds may be at risk.

Mk4, Q and Mk5 are not affected based on our early analysis.

Read the advisory and migrate carefully:

— COLDCARD (@COLDCARDwallet) July 30, 2026

同社によると、一連のソフトウェアの欠陥により、ウォレットシード作成時にハードウェア乱数生成器が期待される量のエントロピーを提供できなかったとのことです。その結果、シード生成の一部は、ユーザーが期待していたより安全なハードウェアエントロピーソースではなく、堅牢性の低いソフトウェアベースの乱数スキームに依存していました。暗号学的観点から説明すると、ウォレットシード — 通常はBIP39標準に基づく12語または24語のリカバリーフレーズとして表現されます — はウォレット内のすべての秘密鍵を導出します。シードのエントロピーが不十分な場合、可能なシードの空間が攻撃者が再構築できるほど小さくなり、関連するすべての資金への完全なアクセスを許す可能性があります。

Coinkiteはその後、新しくリリースされたファームウェアアップデート以前に生成されたシードも影響を受ける可能性を認めました。ただし、同社は自社の特定デバイスに対するセキュリティ上の影響は非常に小さいと推定しています。初期ウォレットセットアップ時に50回以上のプライベートダイスロールを組み込んだユーザーは、デバイスの欠陥のある生成器に依存せず独自のエントロピーソースを提供していたため、比較的安全と見なされました。

約594 BTCが盗難に遭う

この脆弱性に関連するウォレットから約594 BTCが盗まれたという報道が浮上した後、この開示は直ちに注目を集めました。現在の市場価格では、この量はビットコインで約4000万ドルに相当します。盗難は前週末に発生したと報じられています。

AIが攻撃ベクトルの可能性

Coinkiteは、攻撃者がこの脆弱性の悪用に成功した場合、公開されたソースコードを分析するために高度なAIアルゴリズムを使用していた可能性があると示唆しました。COLDCARDのファームウェアはオープンソースであり、同社は脅威アクターが従来のコードレビュー手法では検出できなかった脆弱性を発見するために最先端の人工知能ツールを活用した可能性を認めました。

注目すべきは、Coinkiteが業界で最も人気のあるAIモデルの一つを使用して自社のコードベースの徹底的な監査を最近実施したにもかかわらず、そのレビュー中にエラーが特定されたと追加で述べたことです。同社は調査が進行中であり、攻撃がどのように実行されたかについての理解はまだ予備的な段階であると述べました。

緊急ファームウェアアップデートをリリース；ユーザーに移行を促す

Coinkiteは、Mk4およびMk5モデル向けのバージョン5.6.0やQデバイス向けのバージョン1.5.0Qなど、現行世代のデバイス向けに緊急ファームウェアアップデートをすでにリリースしています。

しかし、同社は更新されたファームウェアだけでは、脆弱なシード生成プロセスの下で既に作成されたウォレットを修復することはできないと強調しました。ユーザーはファームウェアアップデートの実施後に新しいシードを作成し、すべての資金を新しく生成されたウォレットに移動する責任があります。