攻撃者がColdcard由来のアドレスからビットコイン約1.16億ドル相当を流出

要点：7月30日以降、攻撃者がColdcard端末で生成された5,200超のアドレスから約1,816BTC（約1.16億ドル相当）を移動させた。Galaxy Researchによると、最大の一括移動は41分間で1,196のウォレットから合計1,082BTCを吸い上げたものだった。 背景として、2021年3月出荷のColdcardファームウェアv4.0.0には、専用のハードウェア乱数チップをスキップするビルド設定が含まれていたという。CoinkiteのCEO、Rodolfo Novak氏は、Coldcardウォレットでシードを生成したユーザーに対し、更新済みのベストプラクティスに従って資金を移行するよう呼びかけた。少なくとも50回のプライベートなサイコロロールでシードを作成した所有者、または強力なパスフレーズを併用していた所有者は影響を受けないとされる。 なぜ重要か：ウォレットのエントロピー（乱数品質）の不具合は、オフライン自己保管（セルフカストディ）を見えない形で鍵漏えいに近い状態へ変え得る。ハードウェアウォレットの安全性に対する信頼にも影響しやすい。 市場心理：慎重な弱気。ストレス要因は、技術起因でリスク削減の流れ。 根拠：Coldcard生成アドレスからの流出報道が、セルフカストディ用ハードウェアの信頼感を損ねる可能性がある。 過去の類似例：The Blockによれば、Trust Walletはブラウザ拡張のWebAssembly脆弱性を修正し、当該問題はユーザー損失17万ドルにつながった。フィッシングや端末盗難がなくても、シード生成の弱さがウォレット露出を招き得ることを示した事例だ（The Block）。今回との大きな違いは、Trust Walletがブラウザ拡張ソフトウェアの問題だったのに対し、今回はColdcardのハードウェアウォレットにおけるシード生成に関わる点にある。 波及効果：エントロピーへの疑念が強まれば、単一デバイスに依存した保管から、より運用面の統制を組み込んだ仕組みへユーザーが移る可能性がある。大口が「ハードウェア隔離だけでは実装上の潜在リスクを抑えきれない」と判断すれば、カストディ需要が増える展開もあり得る。Coinkiteが技術レビューと移行ガイダンスを公表した場合、封じ込めは脆弱なシードのローテーションをユーザーがどれだけ迅速に進められるかに左右される。 機会とリスク： 【機会】Coinkiteが技術レビューを公表すれば、問題の切り分けが明確になり、ハードウェアウォレット利用者の信頼回復シグナルになり得る。移行ガイダンスが限定的であれば、より強いエントロピー管理を持つセルフカストディ提供者が信頼を取り込みやすい。 【リスク】Coldcard生成アドレスの追加流出が続くなら、単一デバイスへの依存を減らすことが運用面の下振れ抑制につながる。技術レビューでシード生成の影響範囲がより広いと示されれば、影響を受けたユーザー全体でカストディリスクが高止まりする可能性がある。