コールドカードハック：1.3億ドル流出事件の全貌とETF市場への衝撃

2026年7月30日、5年間静かに眠っていたセキュリティインシデントが突如として表面化した。攻撃者たちは、暗号資産（仮想通貨）の中で最も安全な保管場所の一つとされてきたコールドカード（Coldcard）ハードウェアウォレットからビットコインを引き出し始めたのだ。原因は、2021年3月に導入されたファームウェアのバグだった。最初の10分間で約3000万ドルが消え、1週間も経たないうちに総被害額は1.3億ドルを超えた。

これは、単一のビルド構成ミスが、最高峰のセキュリティ製品を予測可能な秘密鍵を生成する機械に変えてしまった物語であり、その余波がスポットビットコインETF市場にまで波及した理由を探るものである。

コールドカードの脆弱性はどのように悪用されたか

カナダの企業コインカイト（Coinkite）が製造するコールドカードハードウェアウォレットは、ただ一つの目的のために作られていた。それは、超安全なビットコイン保管だ。その中核的な価値提案は、秘密鍵が決してデバイスから出ないこと、そしてシード生成は専用のハードウェア乱数生成器（RNG）チップからランダム性を引き出すことだった。

バグの正体： 2021年3月、コインカイトはファームウェアバージョン4.0.0をリリースしたが、これにはビルド構成の誤りが含まれていた。シードフレーズの生成を専用のハードウェアRNGにルーティングする代わりに、ファームウェアは静かにソフトウェアベースの疑似乱数生成器（PRNG）にフォールバックしていたのだ。内部フラグ「

MICROPY_HW_ENABLE_RNG = 0

結果： シードのエントロピー（乱雑性）が崩壊した。安全なハードウェア生成シードは128ビットの鍵スペースを提供する。これは2の128乗という天文学的に大きな値であり、総当たり攻撃は事実上不可能だ。しかし、ソフトウェアフォールバックにより、それはわずか40ビット、つまり約40億通りの値にまで低下した。十分に決意の固い攻撃者であれば、適切な情報を武器に、この鍵スペースはリモートで列挙可能な大きさだった。

攻撃者は、デバイスのシリアル番号、クロックの読み取り値、その他公開で観測可能なデータを、制限された鍵スペースと組み合わせることで、ウォレットのシードフレーズを再構築できた。彼らは自身のマシンで候補となるシードを生成し、アドレスを導出し、それらのアドレスをビットコインブロックチェーンと照合して残高のあるウォレットを探し出した。この攻撃全体には、被害者のデバイスへの物理的なアクセスは一切必要なかった。

攻撃の波：タイムライン

この悪用は複数の波に分かれて展開され、最も攻撃的な行動は最初の数時間に集中した。

• 第1波（7月30日、約10分間）： 第一の攻撃者は最大のウォレットを優先的に標的にし、約3000万ドル相当のビットコインを一掃した。
• 第1波延長（25分間）： 25分以内に、約500のウォレットから3800万ドル以上が流出した。
• 第1波完了（41分間）： ギャラクシー・リサーチ（Galaxy Research）は、最初の一掃を41分間で1196のアドレスから1082.65BTC（当時約7020万ドル）が流出したと分析した。
• その後の波： 8月初旬までに、ギャラクシーは3つの主要な攻撃の波と14の小規模インシデントを確認。少なくとも十数人の異なるハッカーがコールドカードユーザーを積極的に標的にしていた。影響を受けたアドレスは5200以上に上り、一部の推定では7300に達した。

8月4日時点で、ギャラクシー・リサーチは1596BTCが盗まれたとの確信度が高く、未確認の損失はさらに3000万ドルと推定された。総被害額は約1.3億ドルに落ち着いた。

オンチェーンの余波：コールドカードからの退避ラッシュ

ハッキングは即座に移住を引き起こした。ビットコインは8月第一週に227万の新規ウォレットと75.1万のアクティブウォレットを記録——これは数ヶ月で最も強いオンチェーン活動であり、保有者がコールドカードデバイスから資金を移動させるのに必死だったことを示している。

重要なのは、ファームウェアをアップデートしても影響を受けたシードを修正できないことだ。唯一の remedy は、修正済みファームウェアで新しいシードを生成し、注意深く資金を移行することだった。これは、脆弱なファームウェアバージョン（4.0.1から5.0.3、Mk2およびMk3モデルに影響）で作成されたシードを持つすべてのウォレットは、ユーザーが手動でコインを移動させるまで永続的にリスクにさらされることを意味した。

ETF流入の急増：1週間で853.5百万ドル

2026年8月第1週、米国スポットビットコインETFは853.5百万ドルの純流入を記録した——これは2026年4月以来の好調な週となった。流入は広範囲に及んだが、上位に集中していた。

• 日次内訳： 月曜日1.7億ドル、火曜日2.115億ドル、水曜日2.444億ドル、木曜日1.287億ドル、金曜日9890万ドル。
• リーダー： ブラックロック（BlackRock）のiシェアーズ・ビットコイン・トラスト（IBIT）が週間合計の約6.93億ドル、全流入の約81%を占めた。
• フィデリティ（Fidelity）のFBTCが1.165億ドルで2位に続いた。

このETFの急増は、7月初めまでに82.6億ドルを流出させていた8週間の流出期間の後で起きた。反転は鋭く突然であり、コールドカードハッキングとの偶然の一致が即座に憶測を呼んだ。

議論：ハック vs マクロ——どちらが資金流入を引き起こしたか？

タイミングは印象的だった。コールドカード攻撃は7月30〜31日に公になった。ETF流入ラッシュは8月3日月曜日に始まった。しかし同じ週の8月7日金曜日、米国労働統計局（BLS）は驚くほど弱い7月雇用統計を発表した。どちらのイベントもETFの買いを促進した可能性があり、アナリストの間でもどちらが主原因か意見が分かれている。

ハックが原動力という主張

• 直接的なタイミング： ETF流入はコールドカードの脆弱性悪用が広く知られるようになった数日後に始まった。
• カストディ（保管）に対する信頼の危機： ハッキングは自己管理（セルフカストディ）への信頼を直接的に損なった。従来の暗号資産の格言「Not your keys, not your coins（あなたの鍵でなければ、あなたのコインではない）」は逆転された——このケースでは、自分の鍵を持っていることが損失につながったのだ。ブルームバーグのアナリストは、このインシデントが、一部の投資家が自己管理を再考し、ETFプロバイダーのような規制対象のカストディアンにシフトしているかどうかについての「議論を煽った」と指摘した。
• 退避のオンチェーン証拠： コールドカードデバイスからの資金移動と新規ウォレット作成の急増は、「カストディへの逃避」と一致していた。

マクロが原動力という主張

• 7月雇用ショック： 米国の非農業部門雇用者数（NFP）は2.3万人の減少を示し、コンセンサス予想の8万人増加を大きく下回った。過去数ヶ月分はさらに合計10.3万人下方修正された。
• FRBの金利パスの再評価： 9月のFRB利上げ確率は55%から20%に急落した。市場は即座に政策休止を織り込み始め、これはビットコインを含むリスク資産にとって強い強気の触媒となる。
• ビットコイン価格の反応： ビットコインは雇用統計のミスを受けて65,000ドル以上に跳ね上がった。
• 過去のマクロ感応度： 8週間のETF流出傾向は、7月初旬の弱い6月雇用統計（5.7万人、予想を下回る）を受けてすでに反転しており、この時も2.217億ドルの流入日を記録していた。これは、ETFフローがコールドカードの脆弱性悪用以前に、すでにマクロ情勢に対して再び敏感になっていたことを示唆している。

エビデンスの行き着く先

主要メディアで調査されたほとんどのアナリストは、ETF急騰はおそらく同じ方向に働く両方の力によって引き起こされたと結論付けている。ハッキングはミクロレベルの「カストディへの逃避」理由——自己管理の保有者にセキュリティ設定を再考させる具体的な理由——を提供した。弱い雇用統計はマクロレベルの「リスクオン」触媒——FRBの広範な金融政策シフトが、ビットコインを含むすべてのリスク資産に機関投資家の資金を呼び込む類のもの——を提供した。

あるブルームバーグのアナリストが指摘したように、ハッキングとETF流入の間の因果関係は「不明」だが、その偶然の一致が「議論を煽った」。MSNマネーの分析は、ハッキングがマクロ主導のシフトに対する「便利なナラティブ」を提供したと結論付けたが、ビットコインETFの初期以来、カストディに関する議論が初めて「前面に出てきた」と指摘した。

明確なのは、853.5百万ドルの流入週は4月以来の最高であり、二つの主要なイベント——一度限りのハードウェアウォレット障害と衝撃的な雇用統計——が同じ期間に収束したということだ。カストディの問題もマクロ見通しも、その週以前よりも不確実性が増している。この不確実性こそが、単純な答えではなく、真の教訓なのである。