Coldcard悪用の被害が1億ドル超に拡大、盗難は1,596BTC

当初はハードウェアウォレットの大規模侵害とみられていたColdcardの悪用事案は、新たな証拠の積み上げとともに被害の全体像が大きく塗り替えられている。初期の調査では、3回の波（3つのウェーブ）で4,585のアドレスが影響を受け、約1,367BTC（約8,860万ドル相当）が盗まれたとされた。その後、被害アドレスがさらに1,912件見つかり、損失は207.73BTC増加。加えて、盗難コインはすべて未使用（未送金）のままであることが確認された（出所：Galaxy Research）。 この動きは、攻撃者が早期の換金よりも資金の集約を優先している可能性を示す。調査はさらに拡大し、確定被害は約7,300アドレスにまたがる1,596BTC超、金額にして1億ドル超に達した。Galaxy Researchは関連する小規模事案も14件特定しており、疑わしい損失は約2,000BTC、約1億3,000万ドル規模へ近づいている。今回の悪用は、ビットコインのカストディ（保管）セキュリティに関わる失敗として極めて重大な部類に入り、ハードウェアウォレットの耐性そのものに疑問を投げかけている。 ブロックチェーンデータが追跡を後押し 調査対象の拡大に伴い、ブロックチェーン・フォレンジックからは盗難後の資金管理の実態も浮かび上がっている。確定している3つの盗難ウェーブが引き続き中核だが、被害者の確認が進めば第4のウェーブが疑われ、合計損失は2,055BTC（約1億3,000万ドル相当）まで膨らむ可能性がある。 資金移動は注目すべき一貫性を保っている（出所：Galaxy Research）。盗難BTCの90%は手つかずの状態で、Wave 1、Wave 2、Wave 3で移転されたコインはいずれも受け取り先アドレスに滞留している。この不活発さが、攻撃者が管理するウォレットの対応付け（マッピング）や、関連アドレスの追加特定に対する調査側の確度を高めた。 一方で、新たに見つかった小規模な盗難事案は、初期の侵害後に同様の条件を突いて便乗した関係者の存在を示唆する。アトリビューション（帰属）精度の向上を受け、調査側は検証済みアドレスを法執行機関、取引所、コンプライアンス企業へ共有。今後の資金移動の監視を強めると同時に、換金機会の抑制を狙う。 セルフカストディへの信頼を揺さぶる論点 今回の事案が突き付けたのは、セルフカストディそのものの欠陥ではなく、設計の良いウォレットと独立したエントロピー（乱数）生成の重要性だ。併せて、マルチシグの採用や、より堅牢なバックアップ手法といった利用者保護のベストプラクティスを裏付ける結果ともいえる。 Coinkiteは緊急ファームウェアを公開し、出荷を一時停止。ユーザーに対しては、資金移動の前に全く新しいシードを生成するよう促した。もっとも、ソフトウェア更新では過去に生成された弱いシードは修復できない。信頼回復の鍵は、透明性の高いセキュリティレビュー、検証可能なランダムネス、業界標準の明確化にある。今回の悪用は、セルフカストディを否定するというより、ビットコインの守り方を再設計する契機となり得る。 要旨 Coldcardを巡る悪用の被害は1億ドルを超え、ハードウェアウォレットのセキュリティ上の重大インシデントとして位置付けられる。これを受け、セルフカストディの安全性とウォレット保護の実務が一段と強化される流れが進んでいる。