Coldcardウォレット攻撃、被害額が1.3億ドル超に拡大　15人の攻撃者がBTCを流出

Galaxy Researchは火曜朝、Coldcard利用者のハードウェアウォレットからBTCが流出している事案について、別々の15人の攻撃者が資金を引き出しているとの分析を公表した。推定被害は7,300個のウォレットに及び、損失総額は1.3億ドルを超えたという。Galaxy Researchには月曜時点で73人の被害申告が寄せられている。 新たに15人目の攻撃者が一夜で確認された。ある所有者が1BTC未満の損失を報告したことを受け、Galaxy Researchはその痕跡を追跡し、126のウォレットアドレスから計12BTCが引き出された動きと関連付けた。 メーカーのCoinkiteは、不具合のあるファームウェアによりシード生成がMicroPythonのソフトウェアフォールバックに回り、Coldcard Mk2およびMk3のシードフレーズが約40ビット、Coldcard Mk4が約72ビット相当のエントロピーに低下していたと説明した。Coinkiteは影響モデル向けにホットフィックスを出荷した一方、脅威は依然として継続しており、ファームウェア更新では当該ファームウェアで生成されたシード自体は修復できないと警告している。 ■注目点 シード生成が弱いと、公開アドレスの探索が継続的なカストディリスクに直結する。脆弱な資金がより安全なウォレットへ移されるまで、被害が拡大する可能性がある。 ■市場センチメント 弱気、ストレス高、イベント主導、リスク削減。推定被害額が1.3億ドルを超えており、市場参加者は進行中のカストディストレス事案として警戒しやすい。 ■類似事例 2023年にはAtomic Walletのユーザーが、ウォレットハックにより1億ドル超の暗号資産が失われたとして提訴し、ウォレット侵害が大規模損失と長期の回復・紛争につながり得ることを示した（Bloomberg Law）。今回のColdcardは、影響を受けたハードウェアウォレットのファームウェアにおけるシード生成の弱さが主因とされる点が異なる。 ■波及経路 シード生成の弱さは単発の窃取にとどまらず、攻撃者が公開アドレスを走査し、所有者より先に資金移動を仕掛けることでリスクが継続し得る。所有者が新しいシードへ資金をローテーションすれば、攻撃面は縮小する可能性がある。休眠していたウォレットから盗難コインが動き始めれば、ストレスの焦点はカストディリスクから、売却・清算リスクへ移ることも考えられる。 ■機会とリスク 機会：CoinkiteまたはGalaxy Researchが追加の攻撃者の痕跡を特定できれば、影響を受けたシードから資金を移す判断を後押しし、カストディリスク低減の明確なシグナルとなる。 リスク：影響を受けた所有者が新しいウォレットへBTCを移さず対応を遅らせれば、攻撃者による流出が続き、カストディリスクが長期化する。