ハードウェアウォレットColdcardを狙ったハッキング事件について、新たな被害者データが明らかになりつつある。ビットコインの歴史における自己管理型セキュリティの失敗としては最大級の事例の一つだ。Galaxy Researchのアナリスト、アレックス・ソーン氏が被害を受けた250人からの報告を精査したところ、被害者一人あたりの損失中央値は1.022BTCだった一方、平均損失はそれをはるかに上回る4.04BTCに達していた。この差は、一部の大口保有者が被害の大きな部分を吸収していることを示している。被害者単位ではなくアドレス単位で見ると、損失の中央値は0.014BTCまで縮小するものの平均は0.212BTCとなり、少なくとも1つのアドレスでは58.97BTCもの損失が確認された。
今回のハッキングによる確定被害額は現在1億1,100万ドルに達しているが、Bitcoin Magazineの報道では実際の被害額はさらに大きく、影響を受けた全アドレスが把握された時点で最終的に1億3,000万ドルを超える可能性があるとされている。この窃取事件は先週木曜日に3,500万ドルが最初に盗まれたことに始まり、続く週末にかけて複数波にわたって続いた。
2021年にさかのぼるファームウェアの不具合
今回のハッキングの根本原因は、2021年3月にリリースされたバージョン4.0.1以降のファームウェアを搭載したColdcard Mk3デバイスの欠陥にある。本来であれば、シードフレーズの生成にはデバイス専用のハードウェア真性乱数生成器が使われるはずだったが、影響を受けた端末は気づかれないまま、より脆弱なソフトウェアベースの疑似乱数生成器にフォールバックしていた。この弱点により、攻撃者は被害者のシードフレーズをそのまま推測できてしまい、オフラインかつハードウェアベースの鍵管理という仕組みそのものの意義を無効化していた。特筆すべきは、盗まれたコインの経過年数の中央値が3.5年であり、盗まれた資金の88%が少なくとも1年間は動かされずに保管されていたという点だ。これは、多くの被害者がColdcardを常時監視するものではなく、いったん設定すれば手間のかからない恒久的な保管庫として扱っていた長期保有者だったことを裏づけている。
Coldcardを手がけるCoinkiteは、この不具合が「誰にも気づかれないまま存在し続けた」こと、そして「リリースを重ねるごとにその潜在的な影響が拡大していった」ことを認めている。影響を受けたファームウェアを採用するユーザーが年月を経て増え続けたためだ。同社は残る利用者に対し、直ちにソフトウェアを更新するか、新たに生成したアドレスへ資金を移すよう呼びかけている。
記録上最も高くついたハードウェアウォレットの失敗
ブロックチェーン分析企業TRM Labsは、この事件を2026年最大のハードウェアウォレット関連ハッキングだと位置づけている。攻撃者はこれまでに4波にわたり、5,200以上の被害アドレスから約1,816BTCを流出させた。これは今年の暗号資産関連ハッキング全体で見ても上位に入る規模で、これを上回るのはわずか数件の大型事件のみだ。2026年の暗号資産ハッキングによる被害総額はすでに276件で12億ドルを超えており、同時期に記録されたDeFiプロトコルの脆弱性を突いた事件は約20件で合計1億3,220万ドルにとどまる。つまり、たった一つのハードウェアウォレットの欠陥が、丸1カ月分のDeFiハッキング被害を合算した額よりも大きな損害をもたらしたことになる。
関連記事: Coldcardハッキング余波でビットコインのウォレット活動が急増
この事件は、ハードウェアウォレットメーカーがファームウェア更新や乱数生成をどのように扱っているかについて、改めて厳しい目が向けられるきっかけになりそうだ。このカテゴリーの製品は長年、まさにこの種の損失を避けるための最も安全な手段として、ビットコイン保有者に向けて売り込まれてきただけになおさらだ。
