Binance創設者のChangpeng "CZ" Zhaoは、エクスプロイトによりColdcardデバイスから数千万ドル相当のBitcoinが引き出された件を受け、暗号通貨保有者に対してハードウェアウォレットへの盲信を慎むよう呼びかけている。

Coinkiteが製造するColdcardは、インターネットに接続されたデバイスから物理的に隔離されていることから、セキュリティ意識の高いセルフカストディ推進者の間で人気のある、広く使用されているエアギャップ型Bitcoinハードウェアウォレットである。この設計により、自身の鍵が改ざん防止環境で生成されていると想定していたユーザーにとって、今回のエクスプロイトは特に注目すべき事態となっている。

土曜日のXへの投稿で、Zhaoはハードウェアウォレットであってもバグを抱える可能性があり、長期間運用されてきた古いウォレットも例外ではないと警告した。「100%安全なものはない」と彼は記した。

彼は、エクスポージャーを減らすために資金を複数のウォレットに分散することを検討するよう保有者に推奨したが、このアプローチには独自のトレードオフがあり、完全に万全なセットアップは存在しないことも認めた。Zhaoはおなじみの言葉で締めくくった。「Stay SAFU!」

彼のコメントは、Coldcardハードウェアウォレットにおける重大な欠陥の発見に続くものであった。Decryptが報じたように、ビルドエラーにより、影響を受けたユニットのシードがデバイスのハードウェア乱数生成器ではなくソフトウェアフォールバックから引き出され、秘密鍵が意図されたよりもはるかに推測しやすくなっていた。乱数生成器は暗号セキュリティの基盤であり、乱数のソースが予測可能であれば、結果として生成される秘密鍵はパターンを知る誰もがリバースエンジニアリング可能となる。

問題は2021年3月に出荷されたファームウェアに遡る。ファームウェアを更新しても、侵害されたデバイスで既に作成されたシードは修復されない。

We mapped the flow of funds for the Coldcard vulnerability based on the pattern identified by engineers at Block and shared by @clay_garrett

1,196 addresses drained in full for 1,082.65 BTC (~$70.2M) between 01:10:20 and 01:51:26 UTC on Jul 30 — a 41-minute window, blocks… pic.twitter.com/q785paZvMQ

— Galaxy Research (@glxyresearch) July 31, 2026

窃盗の規模は初期の見積もりから大幅に拡大した。初期の報道では、約594 BTC、約3800万ドルが約500のウォレットから引き出されたとされていた。

Jack DorseyのBlockのエンジニアが特定した脆弱性パターンに基づいて資金フローをマッピングしたGalaxy Researchの報告、および@clay_garrettによる共有によると、被害は現在、7月30日の41分間の時間枠内で1,196のアドレスから約1,082.65 BTC、約7020万ドルが引き出されたこととなっている。この数値は初期見積もりのほぼ2倍である。

Galaxyは、すべてのスイープで同一のハードコードされた手数料が支払われ、お釣りの出力が残されていないと指摘した。同社はこれを、正当な所有者が自身の資金を移動させたものではなく、すでに保持している鍵を使用する自動化ツールと整合する特徴であると説明した。被害者はネイティブSegWitと古いアドレスタイプの両方にまたがっており、マルチパスキースキャンを示唆している。

盗まれたBitcoinは数分以内に少数のアドレスに統合され、Galaxyによるとその後移動していない。

Coinkiteは緊急のホットフィックスを出荷し、影響を受けたユーザーに新しく生成されたシードへの移行を促した。この事件は、ハードウェアウォレット業界が抱えるより広範な課題を浮き彫りにしている。物理的セキュリティの強みを売りにしているデバイスであってもファームウェアの完全性に依存しており、単一のビルドエラーが長年築かれた信頼を損ない得るのである。