ファームウェアの脆弱性：断たれたエントロピーの連鎖

2021年3月のファームウェア統合エラーにより、Coldcardデバイスはシードフレーズ生成時に専用のハードウェアエントロピーチップをバイパスし、代わりにソフトウェアベースの擬似乱数生成器（PRNG）にフォールバックするようになった。このバグはファームウェアバージョン4.0.1から4.1.9に影響を与え、その後の分析ではMk3ユニットのバージョン5.0.3まで対象範囲が拡大された。

影響を受けたMk3デバイスでは、有効エントロピーが期待される128ビットからわずか約40ビットにまで低下し、物理的なアクセス、フィッシング、マルウェアなどを必要とせずに、シードフレーズをオフラインで総当たり攻撃できる状態になった。Coinkite自身の分析でも、一部のMk3シードは約40ビットのエントロピーしかないことが後に確認された。ハードウェアRNGがアクティブであることを確認するためのファームウェアチェック自体も、同じアップデートによって壊れていたため、このバグは5年以上もの間、検出されないままだった。

技術的な詳細

Block（Square）の研究者は7月31日に詳細な技術分析を公開し、根本原因はColdcardの乱数生成コードにおける統合エラーにあると特定した。Blockの報告書は、「COLDCARDファームウェアにはRNG統合エラーが含まれており、これによりngu.randomがSTM32ハードウェアRNGの代わりにMicroPythonの決定論的Yasmarangフォールバックを使用するようになる」と説明している。つまり、シードフレーズは真のハードウェア乱数ではなく、マイクロコントローラーのシリアル番号やシステムカウンターなどの予測可能な値を使用して生成されていたのである。

盗まれた額と見積もりが異なる理由

被害額の推定値は3800万ドルから1億3000万ドルまで幅があり、この大きな開きは矛盾しているわけではない。攻撃が展開されるにつれて、また研究者がオンチーン分析を拡大するにつれて、異なる時点でのスナップショットを反映しているに過ぎない。

数字が異なる理由

• 時間の経過と共に複数の波: 攻撃者は7月30日から8月初旬にかけて、少なくとも4回の異なる一斉掃討を実行し、新しい波が発生するたびに既知の総額が拡大した。
• BTC価格の変動: 各報告書は、報告時点でのビットコイン価格で損失額を算出しており、この期間中にBTC価格は変動した。
• 段階的なアドレス発見: 研究者は脆弱なアドレスを徐々に発見した。初期の集計では明らかに資金が引き出されたウォレットのみが含まれていたが、後のGalaxy ResearchやTRM Labsによるオンチーン分析では、すぐには悪用されなかった追加の影響を受けたシードが特定された。
• Coinkiteのデータギャップ: Coinkiteは、プライバシー第一の設計のために顧客データを保持しておらず、総損失を独自に検証するために必要なデータがないと述べており、特定の数字を確認することを拒否している。

Coinkiteの対応

Coinkiteの対応は迅速だったが、同社は根本的な限界に直面していた。脆弱性がシード生成そのものにあったため、ファームウェアパッチでは既に作成されたシードを修正できなかったのである。

• 2026年7月30日: CoinkiteはColdcard Mk3ユーザー向けに緊急セキュリティ勧告を発行し、影響を受けるファームウェアバージョンに関連する資金が危険にさらされていると警告した。
• 2026年7月31日: Coinkiteは影響を受けるすべてのモデル（Mk3は4.2.0以降、Mk4とMk5は5.6.0以降、Qは1.5.0Q以降）向けの修正ファームウェアをリリースし、根本原因を詳述した技術的な背景説明を公開した。同社はまた、ここ数日間を「当社の歴史の中で最も困難な日々の一部」と呼ぶ公開書簡を掲載し、Coldcardデバイスでシードを生成したすべてのユーザーに対し、直ちに新しく生成したシードに資金を移すよう促した。
• 8月初旬: Coinkiteは長年維持してきたデータ削除ポリシーを撤回し、今回の侵害から生じる可能性のある法的義務を果たすため、顧客データを保持することを発表した。
• 進行中: Coinkiteは、安全が確認され次第、完全な技術的事後分析（ポストモーテム）を公開することを約束しているが、2026年8月中旬時点ではまだ公開されていない。

研究者の対応

より広範なセキュリティ研究コミュニティは迅速に動き、 exploitの規模を解明し、その根本原因を追跡した。

• Galaxy Researchがオンチーン調査を主導し、最初の41分間で1,082.65 BTCが流出した様子をマッピングし、4回の攻撃波にわたって既知の範囲を段階的に拡大した。
• Block（Square） の研究者は7月31日に詳細な技術分析を公開し、根本原因がRNG統合エラーにあることを特定した。
• TRM Labsは包括的なインシデント分析を公開し、5,200以上のアドレスから約1,816 BTCが盗まれたと推定し、これを「記録上最大のハードウェアウォレット流出事件」と呼んだ。
• コミュニティ運営のインシデント記録サイトが設立され、進化する事件の範囲と技術的詳細が追跡された。

業界全体への影響

• Bitcoin.orgは、この事件を受けて、公開されているウォレット掲載基準に基づき、ColdcardとColdcard Qを公式ウォレットリストから削除した。
• このハッキングは自己管理（セルフカストディ）に関する議論を再燃させ、一部のアナリストは投資家を機関投資家向けカストディソリューションやビットコインETFへと向かわせる可能性があると指摘した。それにもかかわらず、ビットコインの新規ウォレット作成数は、事件後2026年の最高値を記録しており、これは被害者が新しいシードフレーズに移行したことによる部分が大きい。
• サイバーセキュリティ関連銘柄は、ハードウェアセキュリティの精査強化への期待から上昇したが、BTCとETHの価格はおおむね安定していた。
• 業界専門家や一部メディアは、シードクラッキングを加速するためにAI支援による総当たり攻撃が使用された可能性を推測しているが、決定的な証拠は公表されていない。Coinkite自身も、「入手可能な最良のAIモデルの一つ」を使用してファームウェアコードをスキャンする内部レビューを実施したが、この欠陥やその他の重大な脆弱性を発見できなかったことを認めている。

ハードウェアウォレットユーザーへの主要な教訓

• ファームウェアのアップデートは、すでに危殆化したシードを修復しない。 Coinkiteは明確に次のように述べている。「ファームウェアをアップデートしても、影響を受けたファームウェアによって生成されたシードは修復されません。最新のファームウェアで新しいシードを生成し、その新しいウォレットに資金を移す必要があります。」
• 手動エントロピー源（サイコロロール、BIP 39パスフレーズ）は脆弱性を緩和した可能性が高い。 Coldcardのサイコロロール機能で独自のエントロピーを生成したユーザーや、BIP 39の追加パスフレーズを使用したユーザーは、被害を受ける可能性が大幅に低かった。
• プライバシー第一の設計にはコストが伴う。 Coinkiteが損失総額を確認したり、影響を受けた顧客に連絡したりできなかったのは、顧客データを保持しないという設計思想に起因しており、このトレードオフが危機の際に大きな負債となった。

ファームウェアの脆弱性：断たれたエントロピーの連鎖

2021年3月のファームウェア統合エラーにより、Coldcardデバイスはシードフレーズ生成時に専用のハードウェアエントロピーチップをバイパスし、代わりにソフトウェアベースの擬似乱数生成器（PRNG）にフォールバックするようになった。このバグはファームウェアバージョン4.0.1から4.1.9に影響を与え、その後の分析ではMk3ユニットのバージョン5.0.3まで対象範囲が拡大された。

影響を受けたMk3デバイスでは、有効エントロピーが期待される128ビットからわずか約40ビットにまで低下し、物理的なアクセス、フィッシング、マルウェアなどを必要とせずに、シードフレーズをオフラインで総当たり攻撃できる状態になった。Coinkite自身の分析でも、一部のMk3シードは約40ビットのエントロピーしかないことが後に確認された。ハードウェアRNGがアクティブであることを確認するためのファームウェアチェック自体も、同じアップデートによって壊れていたため、このバグは5年以上もの間、検出されないままだった。

技術的な詳細

Block（Square）の研究者は7月31日に詳細な技術分析を公開し、根本原因はColdcardの乱数生成コードにおける統合エラーにあると特定した。Blockの報告書は、「COLDCARDファームウェアにはRNG統合エラーが含まれており、これによりngu.randomがSTM32ハードウェアRNGの代わりにMicroPythonの決定論的Yasmarangフォールバックを使用するようになる」と説明している。つまり、シードフレーズは真のハードウェア乱数ではなく、マイクロコントローラーのシリアル番号やシステムカウンターなどの予測可能な値を使用して生成されていたのである。

盗まれた額と見積もりが異なる理由

被害額の推定値は3800万ドルから1億3000万ドルまで幅があり、この大きな開きは矛盾しているわけではない。攻撃が展開されるにつれて、また研究者がオンチーン分析を拡大するにつれて、異なる時点でのスナップショットを反映しているに過ぎない。

数字が異なる理由

• 時間の経過と共に複数の波: 攻撃者は7月30日から8月初旬にかけて、少なくとも4回の異なる一斉掃討を実行し、新しい波が発生するたびに既知の総額が拡大した。
• BTC価格の変動: 各報告書は、報告時点でのビットコイン価格で損失額を算出しており、この期間中にBTC価格は変動した。
• 段階的なアドレス発見: 研究者は脆弱なアドレスを徐々に発見した。初期の集計では明らかに資金が引き出されたウォレットのみが含まれていたが、後のGalaxy ResearchやTRM Labsによるオンチーン分析では、すぐには悪用されなかった追加の影響を受けたシードが特定された。
• Coinkiteのデータギャップ: Coinkiteは、プライバシー第一の設計のために顧客データを保持しておらず、総損失を独自に検証するために必要なデータがないと述べており、特定の数字を確認することを拒否している。

Coinkiteの対応

Coinkiteの対応は迅速だったが、同社は根本的な限界に直面していた。脆弱性がシード生成そのものにあったため、ファームウェアパッチでは既に作成されたシードを修正できなかったのである。

• 2026年7月30日: CoinkiteはColdcard Mk3ユーザー向けに緊急セキュリティ勧告を発行し、影響を受けるファームウェアバージョンに関連する資金が危険にさらされていると警告した。
• 2026年7月31日: Coinkiteは影響を受けるすべてのモデル（Mk3は4.2.0以降、Mk4とMk5は5.6.0以降、Qは1.5.0Q以降）向けの修正ファームウェアをリリースし、根本原因を詳述した技術的な背景説明を公開した。同社はまた、ここ数日間を「当社の歴史の中で最も困難な日々の一部」と呼ぶ公開書簡を掲載し、Coldcardデバイスでシードを生成したすべてのユーザーに対し、直ちに新しく生成したシードに資金を移すよう促した。
• 8月初旬: Coinkiteは長年維持してきたデータ削除ポリシーを撤回し、今回の侵害から生じる可能性のある法的義務を果たすため、顧客データを保持することを発表した。
• 進行中: Coinkiteは、安全が確認され次第、完全な技術的事後分析（ポストモーテム）を公開することを約束しているが、2026年8月中旬時点ではまだ公開されていない。

研究者の対応

より広範なセキュリティ研究コミュニティは迅速に動き、 exploitの規模を解明し、その根本原因を追跡した。

• Galaxy Researchがオンチーン調査を主導し、最初の41分間で1,082.65 BTCが流出した様子をマッピングし、4回の攻撃波にわたって既知の範囲を段階的に拡大した。
• Block（Square） の研究者は7月31日に詳細な技術分析を公開し、根本原因がRNG統合エラーにあることを特定した。
• TRM Labsは包括的なインシデント分析を公開し、5,200以上のアドレスから約1,816 BTCが盗まれたと推定し、これを「記録上最大のハードウェアウォレット流出事件」と呼んだ。
• コミュニティ運営のインシデント記録サイトが設立され、進化する事件の範囲と技術的詳細が追跡された。

業界全体への影響

• Bitcoin.orgは、この事件を受けて、公開されているウォレット掲載基準に基づき、ColdcardとColdcard Qを公式ウォレットリストから削除した。
• このハッキングは自己管理（セルフカストディ）に関する議論を再燃させ、一部のアナリストは投資家を機関投資家向けカストディソリューションやビットコインETFへと向かわせる可能性があると指摘した。それにもかかわらず、ビットコインの新規ウォレット作成数は、事件後2026年の最高値を記録しており、これは被害者が新しいシードフレーズに移行したことによる部分が大きい。
• サイバーセキュリティ関連銘柄は、ハードウェアセキュリティの精査強化への期待から上昇したが、BTCとETHの価格はおおむね安定していた。
• 業界専門家や一部メディアは、シードクラッキングを加速するためにAI支援による総当たり攻撃が使用された可能性を推測しているが、決定的な証拠は公表されていない。Coinkite自身も、「入手可能な最良のAIモデルの一つ」を使用してファームウェアコードをスキャンする内部レビューを実施したが、この欠陥やその他の重大な脆弱性を発見できなかったことを認めている。

ハードウェアウォレットユーザーへの主要な教訓

• ファームウェアのアップデートは、すでに危殆化したシードを修復しない。 Coinkiteは明確に次のように述べている。「ファームウェアをアップデートしても、影響を受けたファームウェアによって生成されたシードは修復されません。最新のファームウェアで新しいシードを生成し、その新しいウォレットに資金を移す必要があります。」
• 手動エントロピー源（サイコロロール、BIP 39パスフレーズ）は脆弱性を緩和した可能性が高い。 Coldcardのサイコロロール機能で独自のエントロピーを生成したユーザーや、BIP 39の追加パスフレーズを使用したユーザーは、被害を受ける可能性が大幅に低かった。
• プライバシー第一の設計にはコストが伴う。 Coinkiteが損失総額を確認したり、影響を受けた顧客に連絡したりできなかったのは、顧客データを保持しないという設計思想に起因しており、このトレードオフが危機の際に大きな負債となった。