Galaxy Research、Coldcardのビットコインハードウェアウォレット脆弱性による損失を約1.3億ドルと試算

Galaxy Researchは、Coinkiteのビットコイン用ハードウェアウォレット「Coldcard」の脆弱性に関連する損失が最大2,000BTC（約1.3億ドル）に達する可能性があるとした。 同社が確認した被害は、3回の攻撃波で計7,300件のアドレスから1,596BTCが流出したものに加え、小規模なセキュリティ事案が14件。問題は、Coldcard Mk3、Mk4、Mk5およびColdcard Qの特定ファームウェアで生成されたシード（復元フレーズ）に影響したという。 Coinkiteは影響を受ける全モデル向けに緊急ファームウェア更新を提供し、脆弱な在庫は廃棄したと説明した。Galaxy Researchは「第4波」に相当する可能性がある動きについて、具体的な被害者の確認が取れていないとしつつ、これを含めると流出総額は2,055BTCに増えると見積もった。 シード生成の脆弱性は保管リスクを直接高め、影響を受けたセルフカストディ（自己保管）構成への信頼低下につながり得る。 市場心理は「慎重に弱気」。Galaxy Researchは損失が2,000BTC規模に膨らむ可能性を示し、ハードウェアウォレットへの信頼感に重しになり得るとした。 過去には、2023年のハッキングで1億ドル超の暗号資産が失われたとしてAtomic Walletの利用者が提訴した例があり、ウォレットレベルの侵害が長期の回復対応や責任問題に発展し得ることを示している（Bloomberg Law）。もっとも、Atomic Walletはマルチアセットを扱うソフトウェアウォレットでの被害だったのに対し、今回のColdcardは特定のハードウェアウォレット・ファームウェアで生成されたビットコインのシードが焦点となる。 シード生成の不備は個別の盗難にとどまらず、利用者の資金移動や、取引所による疑わしいコインのスクリーニング強化など、カストディ行動全体に波及する可能性がある。攻撃者関連アドレスの追加特定が進めば、取引所監視や法執行機関への報告が、流出したビットコインの拡散を抑え込めるかどうかを左右し得る。第4波が被害者確認に至れば、事案はより大規模で、なお進行中と市場に受け止められる可能性がある。 機会とリスク：攻撃者アドレスの範囲が明確化し、流出コインが動いていない状況が続くなら、見出しベースの推計に対する過度な反応を避け、回収シグナルが見えるまで様子を見る戦略がリスク低減につながり得る。一方、第4波の被害者確認や流出コインの移動が確認されれば、影響を受けるウォレット構成への依存を減らすことで、運用面の下振れを抑える余地がある。