この攻撃の根源は、カナダのメーカーCoinkiteが2021年3月にリリースしたColdcardファームウェアバージョン4.0.0における、たった一つのコーディングエラーに遡る。楕円曲線演算の移行作業中、ビルド設定のある指示が、デバイスに搭載された専用のSTM32ハードウェア乱数生成器(HRNG)をスキップさせ、シードフレーズ生成の際にソフトウェアベースの疑似乱数生成器(PRNG)を使用させるものだった。
問題を複雑にしたのは、ライブラリ側のチェックだった。このチェックは、その設定が「存在するか」どうかだけを確認し、「有効になっているか」どうかを確認していなかったため、バグは長年にわたって発見されなかった。その結果、ユーザーのビットコインのマスターキーとなるシードフレーズが、デバイスのシリアル番号や内部クロックレジスタといった非秘密のチップデータを元にした、予測可能なソフトウェア代替手段で生成されるようになった。本来128ビットのエントロピー(乱雑性)を持つべきところが、影響を受けたデバイスでは約72ビットにまで低下。これは攻撃者がオフラインで総当たり攻撃(ブルートフォース)を行うのに十分な小ささだった。
Coinkiteは、この脆弱性が特定のファームウェアバージョンを実行する複数のColdcardモデルに影響することを確認した。
2021年3月以降に影響を受けたデバイスで生成されたシードは、すべて侵害されている可能性があった。
攻撃は2026年7月30日ごろから少なくとも3波にわたって行われ、4,500以上のアドレスから資金が流出した。特に激しかった一波では、わずか25分間で594BTCが盗まれている。Galaxy Researchによる初期の推定では被害額は約7,000万ドルとされていたが、侵害されたアドレスが特定されるにつれ、後の報告では約8,900万ドルから1億1,600万ドルに収束した(報告時のビットコイン価格による)。
攻撃者は物理的なアクセス、フィッシング、マルウェアを一切必要としなかった。弱体化したシードフレーズを予測することで、外部から秘密鍵を完全に再構築したのである。
Coldcardハッキングは、投資家の行動に明確な分裂を引き起こし、Santimentのオンチェーンデータで可視化された。
ビットコインクジラ(10BTCから10,000BTCを保有するウォレット)は、7月29日から8月初めにかけて、総保有量を19,610BTC増加させた。これは0.14%の増加で、当時の価格で約12.5億ドルに相当する。他の報告では、7月末までの8日間で19,696~19,700BTCの蓄積があったとしている。これは「スマートマネー」が売り過ぎと判断したことを示している。
対照的に小口の個人投資家はまったく逆の行動をとった。0.01BTC未満を保有するウォレットは、同期間に保有残高を**0.55%減少させた。スポットBTCの取引量は75%**も減少し、個人投資家による押し目買い意欲が冷え込んだ。小口保有者によるパニック売りは、2022年11月のFTX破綻以来の水準に達したと評された。
Coldcardハッキングは、2026年上半期の暗号セキュリティの厳しい状況を背景に発生した。
Coldcardはコールドストレージのゴールドスタンダードと広く見なされていただけに、5年以上もの間、ファームウェアのバグが鍵生成を危険にさらしていたという事実は、ハードウェアウォレットの安全性に対する信頼を打ち砕いた。セキュリティ研究者や取引所は、すべてのColdcardユーザーに対し、シードフレーズをローテーションし、新しいウォレットに資金を移動するよう緊急警告を発した。この事件は、たった一つのコーディングミスでサプライチェーンとファームウェアの整合性が破られた場合、エアギャップ(物理的隔離)されたハードウェアウォレットでさえも十分なのかという、根本的な議論を再燃させている。
TRM Labs. "H1 2026 Crypto Hacks Reach Record High as Losses Fall Below USD 1 Billion." July 1, 2026.
TRM Labs. "Crypto Hacks Hit Record 207 Incidents in First Half, Data Shows." July 3, 2026.
TRM Labs. "H1 2026 Crypto Hacks Reach Record High as Losses Fall Below USD 1 Billion." July 1, 2026.
MEXC. "Record 207 Crypto Hacks Expose Weak Spot In Digital..." July 3, 2026.
CryptoRank. "Crypto Hacks in First Half of 2026 – Report." July 3, 2026.
Binance Square. "Crypto Hacks Hit Record 207 in H1 2026 as Losses Fall to $972 Million." July 5, 2026.
Blockonomi. "Crypto Hacks Hit Record 207 Cases in H1 2026, But Losses Decline." July 2, 2026.
AMBCrypto. "Crypto hacks hit record high in H1 2026 - What's fueling the surge?" July 2, 2026.
KuCoin. "594 BTC Stolen in 25 Minutes Due to Coldcard Wallet Flaw." July 31, 2026.
Blockhead. "A five-year-old Coldcard bug let hackers guess bitcoin wallet keys..." August 3, 2026.
Fortune. "Bitcoin owners rocked by $116 million hack: What we know about the..." August 3, 2026.
NiftyTrader. "Coldcard Firmware Bug: How a Hidden 5-Year Flaw Led to..." August 3, 2026.
SpazioCrypto. "Coldcard Hack: $89M Drained by a 5-Year-Old Firmware Bug." August 4, 2026.
The Hacker News. "Coldcard Hardware Wallet Flaw Linked to $70 Million Bitcoin Theft in..." August 1, 2026.
IG UK. "Coldcard Hardware Wallet Hack Drains $89m: What It Means." August 3, 2026.
Fox Business. "Coldcard wallet attack drains up to $89M in Bitcoin from 1200+ addresses." August 3, 2026.
Privacy Guides. "Nearly 1400 Bitcoin Hacked from Coldcard Wallets." August 3, 2026.
TechSpot. "A Coldcard firmware flaw let hackers drain $70 million in..." August 2, 2026.
Yahoo Finance. "Coldcard PRNG Flaw Lets Attackers Reconstruct Private..." August 3, 2026.
TradingView. "Coldcard Security Notice Puts Bitcoin Wallet Entropy Risk..." July 31, 2026.
KuCoin. "Galaxy Reports $70M Bitcoin Drained from 1196 Coldcard..." July 31, 2026.
BlockOps Mining. "Coldcard Wallet Hack: What Bitcoin Holders and Miners Need to Know." July 31, 2026.
CryptoRank. "Bitcoin News: BTC Enters Accumulation Zone as Whales Add 19610 Coins." August 4, 2026.
CryptoRank. "Bitcoin News: Spot Volume Falls 75% Despite Whale..." July 29, 2026.
SpendNode. "Bitcoin Whales Absorb 19700 BTC in 8 Days as Retail..." July 28, 2026.
Coinpedia. "Bitcoin Whales Buy 19610 BTC as Retail Sells After Coldcard Security..." August 3, 2026.