Coldcardハック：RNGの欠陥により$116MのBitcoinが盗難

ハードウェアウォレットは、Bitcoinを保持する上での、退屈で信頼できる部分であるはずです。接続し、シードを生成し、シードをオフラインで保管し、安心して眠る。その前提は、人気の高いColdcardウォレットのメーカーであるCoinkiteが、2021年3月にまで遡るファームウェアのバグによって数千の秘密鍵が推測可能な状態になっていたことを認めた今夏、大きな打撃を受けました。攻撃者は、2026年7月30日から8月4日の間に4つの個別の波を通じて、5,200以上のアドレスから当時約1億1,600万ドル相当の約1,816 BTCを流出させました。ブロックチェーン分析企業TRM Labsによると、9月中旬の時点で、この事件は依然として記録上最大のハードウェアウォレットのエクスプロイトとして位置づけられています。

Coldcardのハックは、すでに9桁の暗号資産損失が相次いでいる年に発生しましたが、通常のDeFiブリッジのエクスプロイトや取引所の侵害とは一線を画しています。誰もパスワードを盗んでいません。誰も秘密鍵をフィッシングしていません。ウォレットは、購入者が言われた通りのことを正確に行いました。つまり、ネットワークから離れた専用デバイス上でオフラインでシードフレーズを生成することです。ただ、シードはCoinkiteが主張したほどランダムではありませんでした。この違いこそが、セキュリティ研究者、セルフカストディの支持者、そして現在は競合するウォレットメーカーが、これを典型的なハッキングの見出しとは異なる種類の警告として扱っている理由です。

何が起きたのか：1億1,600万ドルのColdcard窃盗事件の内幕

トラブルの最初の兆候は2026年7月30日に現れ、オンチェーンアナリストが、約500の休眠状態のウォレットから一度に約594 BTC（約3,800万ドル）が流出しているのを発見しました。Coindeskは翌日、この最初の盗難を報じ、同メディアの7月31日のレポートによれば、「ユーザーが安全にセルフカストディされていると信じていたウォレットから、攻撃者がウォレット復元フレーズを再現してBitcoinを盗むことを可能にするエクスプロイト」として構成しました。Coinkiteは同日、Coldcard Mk3の所有者に対してセキュリティアドバイザリを発行し、特定のファームウェアバージョンに関連付けられた資金がリスクにさらされている可能性があると警告しました。

それは序章に過ぎませんでした。第2の波により、8月1日までに総損失は約1,082 BTCに達しました。ブロックチェーン・インテリジェンス企業Galaxy Researchが追跡した第3の波により、8月2日と3日までに4,585のアドレスから約1,367 BTC（約8,900万ドル）が流出しました。TRM Labsの報告によると、月曜日の朝に検出された第4の波により、確認された合計は5,200以上のアドレスから約1,816 BTC（約1億1,600万ドル近く）に達しました。Forbesでこの事件を報じたセキュリティライターのBoaz Sobradoは、個別の被害を厳しい言葉で表現しました。彼の8月4日の記述によれば、ある被害者一人だけで、単一のColdcard生成ウォレットから160万カナダドル相当を失いました。