Coldcardハックを解説：2021年のファームウェア不具合で1億3,000万ドル超のビットコインが流出した理由

Coinkiteの説明によれば、意図的に弱い代替処理へ切り替えたのではありません。ビルドとシンボル解決の統合エラーによって、ハードウェア乱数生成器を使うはずの処理が、MicroPythonの一般的な疑似乱数生成器「Yasmarang」に解決されていたとされています。

なぜ端末に触れず、資金を盗めたのか

復元シードは、ビットコインウォレットのアドレスや、取引に署名する秘密鍵を再生成するための「大元の秘密」です。シードは十分に予測困難でなければなりません。候補の範囲を絞り込めるなら、攻撃者は元の端末を見なくても、正しいシードを探索できます。

影響を受けたMk3では、実質的なエントロピー、つまり予測不可能性の強さが、想定された128ビットではなく約40ビットにまで低下していたと、Coinkiteの技術分析に基づく報道で説明されています。

報告された攻撃の流れは次の通りです。

1. 攻撃者や研究者が、シード生成処理の予測可能な挙動を特定する。
2. 不具合のパターンを利用して、候補シードを大量に生成する。
3. 候補を、ブロックチェーン上で公開されているビットコインアドレスと照合する。
4. 資金の入ったウォレットに一致した場合、対応する秘密鍵で取引に署名し、資金を移す。

このため、利用者が「シードを誰にも教えない」「端末をオフラインで保管する」「紙や金属のバックアップを安全な場所にしまう」といった対策をしていても、被害を防げないケースがありました。弱点は、シードを保管している場所ではなく、シードを作った時点に存在していたからです。

被害額はどれほどか

被害額の集計は、攻撃が続くにつれて変化しています。初期の集計では、単一署名ウォレット約500個から594.48BTCが流出したとされました。一方、その後の報道では、関連する流出額が1,300BTCを超え、米ドル換算で1億3,000万ドルを上回ったと報じられています。

ただし、これらを一つの確定した最終額として扱うべきではありません。報道によって対象となる攻撃の波、集計期間、ウォレットの種類、ビットコイン価格が異なるためです。Galaxy Researchは8月中旬の分析で、被害を「1億3,000万ドル、そして増加中」と表現しており、当時も調査が進行中だったことを示しています。

攻撃者は誰なのか

実行犯は、現時点で公に特定されていません。報道では、少なくとも十数人または十数の正体不明のハッカー・グループが関与する、機会を狙った継続的な攻撃だった可能性が示されています。同じ脆弱性が知られるようになった後、複数の攻撃者がそれぞれ悪用した可能性もあります。

ここで重要なのは、技術的な原因の特定と、犯人の身元の特定は別だという点です。原因はColdcardのシード生成実装に結び付けられていますが、資金を移した人物の組織、所在地、相互の関係は、確認できる報道からは明らかになっていません。ビットコインそのものへの侵入や、単一の犯罪グループの関与が確定したわけでもありません。

2026年の暗号資産ハック増加との関係

Coldcardの事件は、暗号資産を巡る被害が拡大している時期に発生しました。8月初旬までに、2026年に暗号資産関連企業を狙ったハッキングは200件を超え、損失は9億5,000万ドルを超えたと報じられています。

もっとも、この数字は暗号資産企業や各種システムへの攻撃全体を含むものです。Coldcardの被害は、ウォレットのシード生成という特定の実装上の弱点から生じました。それでも、強固な暗号技術やオフライン保管だけでは、鍵の生成やソフトウェア実装に問題がある場合、資産を守り切れないことを示す事例です。

なぜColdcardは安全だと考えられていたのか

ハードウェアウォレットは、秘密鍵や署名に必要な情報を、インターネットに接続された機器から隔離することを目指しています。一方、ホットウォレットは通常、スマートフォンアプリ、ブラウザー拡張機能、取引所のアカウントなど、オンライン環境に近いソフトウェアで動作します。そのためコールド保管は、マルウェア、アカウントの遠隔乗っ取り、日常的な操作中のシード漏えいといったリスクを抑える効果があります。

今回、攻撃者がColdcardに遠隔ログインしたわけではありません。問題は、すでに一部のウォレットが、十分なランダム性を持たないシードから作られていたことでした。端末を金庫に保管していても、公開ブロックチェーンと既知の生成パターンから数学的な秘密を再構成できるなら、資金は安全とは限りません。

つまり、これは製品実装の脆弱性であり、すべてのオフラインウォレットが本質的に危険だという話でも、ビットコインのアドレスや署名の仕組みが破られたという話でもありません。

被害者が直面した現実

Jonathan Goodman氏は、Coldcardで管理していた資産から約160万カナダドルを奪われたと述べています。氏によれば、シードフレーズを誰にも共有せず、端末も物理的に安全な状態に保っていました。それでも盗難を防げませんでした。

この事例が衝撃的なのは、自己管理型ウォレットで推奨される運用上の対策を守っていても、シードそのものが生成時点で弱ければ不十分だったことです。厳重に保管された弱い鍵は、厳重に保管されていても弱いままです。

Coinkiteが利用者に求めた対応

Coinkiteは2026年7月30日に問題を公表し、修正版ファームウェアとセキュリティ勧告を公開しました。重要なのは、単なる更新ではなく「移行」が必要だと案内したことです。

1. 公式のCoinkite配布元から、対象モデルに対応した修正版ファームウェアをインストールする。
2. 更新済みの端末で、完全に新しいウォレットシードを生成する。
3. 旧シードのウォレットから、新しいシードが管理するアドレスへ資金を移す。
4. Coinkiteが示す例外に該当しない限り、旧シードは流出したものとして扱う。

ファームウェアを更新しても、脆弱なファームウェア上で過去に生成されたシードが、後から安全になるわけではありません。資金を守るには、新しいシードへ移す必要があります。

Coinkiteの勧告では、少なくとも50回の独立した非公開のサイコロ振りを使わずにシードを生成し、かつ強力で固有のBIP-39パスフレーズで保護していない場合、資金が危険にさらされる可能性があるとされています。モデルごとのファームウェアバージョンや移行手順は、必ず最新の公式勧告を確認してください。サポートを名乗る人物から、シードワードやパスフレーズを求められても決して渡してはいけません。

ハードウェアウォレット利用者への教訓

Coldcardの事例は、ハードウェアウォレットの安全性が複数の層で成り立っていることを示しています。

• 物理的な隔離： 端末とバックアップを攻撃者から遠ざける。
• 乱数の品質： 十分な予測不能性を持つシードを生成する。
• ファームウェアの完全性： 端末のコードが意図されたセキュリティ機能を利用していることを確認する。
• 復旧時の衛生管理： 影響を受けた可能性のあるシードを、更新だけで済ませず交換する。
• 取引時の確認： 送金先の情報を確認してから承認する。

最も重要な実務上のポイントは明確です。シードが脆弱な処理で生成された可能性があるなら、交換すべきなのは端末だけではなくシードです。今回の攻撃で、攻撃者はColdcardを盗む必要がありませんでした。端末が生成した秘密を再現できればよかったのです。