ビットコイン基盤に大打撃：ColdcardとBTCPay Serverの脆弱性で1億1600万ドル超が流出、AI主導のセキュリティ監査が緊急対応

今週、ビットコインの重要なインフラストラクチャにおいて、2つの重大なエクスプロイトが開示されました。Coldcard Mk3のファームウェアに存在した乱数生成器（RNG）の欠陥により、5,200を超えるアドレスから1億1600万ドル以上が盗まれ、さらにBTCPay Serverの脆弱性によりLightning Networkノードの認証情報が漏洩し、資金が流出しました。これを受け、コミュニティはAIを活用した「Bitcoin Red Team」による大規模監査を開始し、緊急パッチと資金移動の警告を発しました。ビットコイン価格は一時3%近く下落したものの、その後回復し、約6万4000ドルで推移しています。市場はこれらのショックに耐え、ある程度の回復力を示しています。

Coldcard Mk3 ファームウェアエクスプロイト

根本原因: 2021年3月に出荷されたColdcardファームウェアバージョン4.0.0に重大な欠陥がありました。このバグにより、シード生成時にデバイスが専用のハードウェア乱数チップをバイパスし、代わりに予測可能なソフトウェアベースの乱数生成器を使用するようになりました。その結果、期待される128ビット以上のエントロピーの代わりに、Mk3デバイスではわずか約40ビットの実効セキュリティしかないシードが生成され、攻撃者にとって推測が極めて容易になりました。この欠陥は、ファームウェアバージョン4.0.1から4.1.9を実行しているMk2およびMk3デバイス、および特定のファームウェアアップデート前のMk4、Mk5、Qモデルに影響を及ぼしました。

被害規模: 5,200以上のアドレスから、4波にわたる盗難で1億1600万ドル以上のビットコインが盗まれました。7月30日だけで、攻撃者は約41分間で1,196のウォレットから1,082.65 BTC（約7020万ドル相当）を奪い去りました。これは、Coinkite（Coldcardの製造元）が脆弱性を公表するわずか30時間前のことでした。第2波では約594 BTC（約500ウォレット）が盗まれ、その後の波でGalaxy Researchが特定した総損失は1,816 BTCに達しました。

対応: Coinkiteは修正済みファームウェアをリリースしましたが、ユーザーは新しいシードを生成し、資金を移行する必要があります。古いシードは依然として危険にさらされています。元Binance CEOのChangpeng Zhao氏は、コールドストレージでさえ絶対安全ではないと警告し、今回のインシデントはセキュリティ対策に絶対はないことを示していると述べました。

BTCPay Server Lightning認証情報エクスプロイト

根本原因: BTCPay ServerのAPI認証層に論理エラーがあり、認証されていないリモートの攻撃者がLND（Lightning Network Daemon）ノードを保護する.macaroon認証情報ファイルにアクセスできるようになりました。これらの認証情報はAPI認証に使用され、一度取得されると、関連するLightningノードを完全に制御できるようになります。

盗まれたもの: 攻撃者はBTCPay Serverインスタンス上のLightning Networkチャネルを空にしました。被害を確認された中には、ハードウェアウォレットメーカーのFoundationやビットコインZineのCitadel21が含まれています。標準的なBTCPayのオンチェーンウォレットは影響を受けていませんでした。

対応: BTCPay Serverは8月7日に緊急バージョン2.4.2をリリースし、すべてのオペレーターにすぐにアップデートするか、サーバーをオフラインにするよう求めました。重要なのは、このパッチは新たなアクセスを防ぐものの、すでに盗まれた認証情報を無効にするわけではないということです。オペレーターは手動でLND macaroonを取り消して再生成し、BTCPayが生成したオンチェーンホットウォレットから資金を移動させる必要があります。BTCPayは資金が盗まれたことを確認し、調査した攻撃は.macaroon拡張子を持つファイルのみを標的にしていたと述べています。

エコシステムの対応：AI主導のセキュリティ監査

Bitcoin Red Team: 開発者のCalle氏とAnchorWatch CEOのRob Hamilton氏が率いるボランティアグループが、OpenSatsの資金提供を受け、Kimi K3、GPT Sol、Fable、Opus、GLM5.2などの複数のAIモデルを使用した「大規模エコシステム監査」を開始しました。

結果: 約30時間で、チームは390のオープンソースビットコインリポジトリをスキャンし、4,962件のセキュリティ指摘事項を報告しました。その内訳は、深刻度「Critical」が85件、「High」が635件です。この監査には、AIコンピューティングに4万ドル以上が費やされました。チームは責任を持って脆弱性を開示しており、ビットコインの自己管理とより広範な暗号インフラストラクチャを強化するために、そのツールをオープンソース化する計画です。

影響: Coinkiteのバグは、オープンソースウォレット開発者をAIを活用したコード監査へと向かわせるきっかけとなりました。Coinkite自身も、事故後の分析で、「誰かがAIを使って以前のバージョンのファームウェアをレビューした可能性が高い」と指摘しています。

資金移動の警告とオンチェーンアクティビティ

ビットコインは今週、227万の新規ウォレットと75万1,000のアクティブウォレットを記録し、ここ数ヶ月で最も強いオンチェーンアクティビティを示しました。これは、保有者がColdcardデバイスから資金を移動させるために殺到したためです。調査会社K33は、過去7日間で約89万BTCが移動したと報告しており、これは2026年に記録された週間アクティブサプライの最高値です。CoinkiteとBTCPay Serverはともに、資金が差し迫ったリスクにさらされており、「攻撃は進行中」であるとの緊急の公的警告を発しました。

ビットコイン価格への影響

ビットコインは、7月31日にColdcardハッキングのニュースが流れた際、一時約3%下落し、6万2000ドルを下回る場面もありました。しかし、価格は急速に回復しました。8月3日月曜日までに、BTCは6万4000ドルを超え、2.9%上昇しました。アナリストは、ハッキングの市場への影響は限定的であり、買い手が存在することを指摘しました。8月8日時点でもビットコインは6万4000ドル近辺で推移していますが、トレーダーは依然として神経質になっており、ForbesはBTCPayのニュースを受けてBTCは「さらなる重大なエクスプロイトに備えている」と報じています。連続したインフラストラクチャショックにもかかわらず、価格は概ね堅調に推移しており、市場の回復力を反映しています。

主要な教訓：セルフカストディのセキュリティについて

今週の出来事は、ビットコイン保有者とインフラストラクチャ事業者にとって、いくつかの重要な教訓を浮き彫りにしています。

• ファームウェアは重要です： ハードウェアウォレットであっても、重大なファームウェアバグが発生する可能性があります。ファームウェアのバージョンを定期的に確認し、セキュリティ勧告について常に情報を入手してください。
• シード生成は最も重要です： Coldcardのエクスプロイトは、シードが予測可能なエントロピーで生成されたために機能しました。脆弱なファームウェアでシードを作成した場合、現在使用しているファームウェアに関係なく、そのシードは危険にさらされています。
• AIは諸刃の剣です： AIを活用した脆弱性の発見は、攻撃者にも防御側にも使用される可能性があります。Bitcoin Red Teamの監査は、AIが大規模にセキュリティを改善する可能性を示しています。
• 即時対応が必要です： 影響を受ける可能性のあるColdcardおよびBTCPay Serverのユーザーは、すぐに資金を移行し、認証情報をローテーションする必要があります。現在も悪用が進行中です。