Coinkiteのハードウェアウォレット「Coldcard」に存在したファームウェアの欠陥により、被害額は1.3億ドルを超えたとTechCrunchが報じた。それでもデバイスを製造した当のCoinkiteは、いまだ自社としての被害額を明らかにしていない。同社は数日にわたった攻撃の事後検証に注力する姿勢を示し、被害規模の推測については外部のセキュリティ調査に委ねるとしている。
根本原因は2021年に導入されたコードにさかのぼる。Block社の研究者らによれば、Coldcard端末はハードウェアベースの乱数生成に頼るはずが、欠陥のあるフォールバック用の生成器が作動したことで、予測可能な、つまり解読しうるシードフレーズを生成してしまっていたという。攻撃者は被害者の端末に物理的にアクセスする必要すらなく、欠陥のある生成プロセスを総当たりで解析することでマスターキーを数学的に復元し、外部から秘密鍵を再現していた。
膨らみ続けた被害額
今回の被害規模は急速に拡大した。7月31日時点の当初の推計では被害額はおよそ600BTC、約3,800万ドルとされていたが、この時点ですでに今後さらに膨らむとの見方が報道でも指摘されていた。8月4日までに外部推計は3倍以上に跳ね上がり1.3億ドルを突破、少なくとも12組の別々のハッカーやハッキング集団が同じバグを独立して悪用していたことも分かっている。Coinkiteは木曜日にセキュリティ勧告を公開し、状況が明らかになるにつれて土曜日にも内容を更新した。今回の事件は暗号資産セキュリティにとって過酷な一年のさなかで起きたもので、2026年上半期だけでも200件を超えるハッキングが業界全体で9億5,000万ドル以上の被害を生んでいる。
関連記事: BTCPay Server、悪用が進行中の重大な脆弱性を警告
コインカイト、ユーザーに「今すぐ移動を」
CoinkiteのCEOであるNVK氏は、ユーザーへの警告を率直な言葉で伝えている。
「Coldcardウォレットでシードを生成したことがあるなら、この先を読む前に、更新されたベストプラクティスに従って今すぐ資金を移動させてほしい」
同社はファームウェアの更新を配布済みで、影響を受けた可能性のあるすべてのユーザーに対し、パッチ適用前に作成されたものを一切信用せず、新たに生成したシードフレーズへ移行するよう呼びかけている。Coinkiteはこのガイダンス以上のコメントをTechCrunchに対して行っていない。
セルフカストディという触れ込みへの打撃
今回のハッキングは、Coldcardの既存ユーザーの枠を超えて波紋を広げている。ハードウェアウォレットの売りは、技術に精通した慎重な保有者でさえ守れる点にあったからだ。ビットコイン解説者のGuy Swann氏は、これを「ビットコイン史上、最も知識があり適切にセキュリティ対策を講じてきたビットコイナーたちへの、最悪の打撃」と評した。ARK InvestのLorenzo Valente氏は、今回の一件がセルフカストディの本質を示していると指摘し、利用者は結局のところカウンターパーティリスクを、「ソフトウェアリスク、ハードウェアリスク、サプライチェーンリスク、フィッシングリスク、バックアップリスク、そしてたった一度のミスですべてを失う可能性」と引き換えにしただけだと論じた。Casa CEOのNick Neuman氏はさらに踏み込み、「サイコロを振ってセルフカストディの安全を確保しろとは、人々に求められることではない。99%の人にとっては非現実的な話だ」と述べている。
一部の業界関係者は今回の余波を受け、新しくビットコインに参入した投資家層がハードウェアウォレットよりもBlackRockのIBITのような規制された保管業者や現物ETFへとさらに流れると予想している。これは、保有者自身が鍵を管理するというビットコインの創設理念とは逆行する変化になる。
