ビットコイン用ハードウェアウォレット「Coldcard」の製造元Coinkiteは2026年7月31日、同社デバイスのシード（秘密鍵の元になる乱数）生成に不具合があったとするセキュリティアドバイザリを公開した。同日未明には約500のアドレスから594BTC（当時の価格で約3830万ドル）が25分間で抜き取られており、Coinkiteは全利用者に資金の移動を呼びかけている。
この記事のポイント
- 2026年7月31日01時31分〜01時56分（UTC）に、約500のシングルシグアドレスから594BTCが一括で送金された。
- 原因は2021年3月公開のファームウェア4.0.0で混入したビルドエラー。ハードウェア乱数生成器が使われず、推測可能なソフトウェア処理でシードが作られていた。
- 修正版ファームウェアを入れても既存のシードは安全にならない。対象利用者は新しいシードを作り直して資金を移す必要がある。
目次
25分間で594BTCが動いた経緯
CoinDeskによると、送金は2026年7月31日01時31分から01時56分（UTC）にかけて実行された。約500件のトランザクションで1324のUTXO（未使用のビットコイン残高）がまとめて動かされ、3ブロック分の時間内に処理が完了している。
抜き取られた資金のうち562BTCは単一のアドレスに集約され、その後は動いていないと報じられている。対象となったのは、いずれも単独の秘密鍵で管理するシングルシグのアドレスだった。（参考: CoinDesk「Major bitcoin wallet flaw drains 594 BTC in 25-minute sweep」）
経緯
ビットコイン価格はこの前後、バイナンスのUSDT建て市場で一時6万3000ドルを下回り、前日比で約3%下落した。ただし7月は月間で約7.5%高となっており、下落がこの事案のみによるものかは確認できていない。
乱数生成器をバイパスしたビルドエラー
Coinkiteの説明によると、原因はファームウェアのビルド時に混入した設定判定の誤りだった。プリプロセッサの条件分岐が「設定が定義されているか」だけを確認し、その値までは検査していなかったため、ビルドはエラーを出さずに完了していた。
その結果、デバイスは搭載しているハードウェア乱数生成器を使わず、MicroPythonのソフトウェア処理にフォールバックしてシードを作っていた。この処理が種として使っていたのはチップのシリアル番号やクロックレジスタの値で、いずれも秘密の情報ではない。（参考: Decrypt「$38M in Bitcoin Drained by Coldcard Key Flaw Its Maker Thinks AI Found」）
Coinkiteによれば、Mk3で生成されたシードの実効的な探索空間は本来の128ビットに対して約40ビットまで縮んでいた。総当たりで鍵を再構成できる水準であり、攻撃者は該当する範囲を計算し尽くしてアドレスを割り出したとみられる。
用語の整理
シード: 秘密鍵をすべて導き出す元になる乱数。通常は12語または24語の英単語（BIP-39ニーモニック）として表示・バックアップされる。
エントロピー（ビット）: 乱数の推測しにくさを表す指標。128ビットなら2の128乗通りを試す必要があるが、40ビットまで下がると現実的な計算資源で総当たりが可能になる。
ハードウェア乱数生成器（TRNG）: 物理的な現象から予測不能な値を作る回路。ソフトウェアによる疑似乱数と異なり、外部から再現できないことが前提になる。
BIP-39パスフレーズ: シードとは別に利用者が設定する追加の合言葉。シードが漏れても、パスフレーズが分からなければ資金にはアクセスできない。
不具合の存在は、BlockのビットコインエンジニアリングチームとCoinkiteが追跡して特定した。Blockは、悪用がすでに進行していたため、悪用可能性の検証を完了させないまま情報開示に踏み切ったと説明している。
影響を受ける機種とファームウェアの範囲
Coinkiteは当初、初期分析としてMk4、Mk5、Qの各機種は影響を受けていないとみられると説明していた。その後公開されたセキュリティアドバイザリでは、修正版より前のファームウェアで生成されたこれらの機種のシードも「想定していた128ビットではなく約72ビットのエントロピーにとどまる」として、対象に含めている。
Mk4/Mk5/Qではセキュアエレメント由来の追加エントロピーが加わるため、Mk3の約40ビットよりは条件が良いという整理になる。重要なのは購入時期ではなく、シードを作成した時点のファームウェアのバージョンである。
| 機種 | 対象となるシード生成時のファームウェア | 実効エントロピー | 修正版 |
|---|---|---|---|
| Mk3 | 4.0.1〜4.1.9 | 約40ビット | 4.2.0 |
| Mk4 / Mk5 | 5.6.0 より前（Edgeは6.6.0Xより前） | 約72ビット | 5.6.0 |
| Q | 1.5.0Q より前（Edgeは6.6.0QXより前） | 約72ビット | 1.5.0Q |
| TAPSIGNER / OPENDIME / SATSCARD | 対象外 | — | — |
アドバイザリは、TAPSIGNER、OPENDIME、SATSCARDについて「これらはコードベースが異なるため、このバグの影響を受けない」と明記している。（参考: COINKITE Blog「Coldcard Security Advisory」）
Coinkiteが示した対処手順
CoinkiteのCEOであるNVK氏は公開書簡で「Coldcardウォレットでシードを生成したのであれば、この先を読む前に、更新した推奨手順に従って今すぐ資金を移動してほしい」と述べた。
アドバイザリが強調しているのは、ファームウェアの更新だけでは解決しないという点である。既に作成済みのシードは更新によって安全にはならず、修正版を導入したうえで新しいシードを作り直し、資金を移す必要がある。アドバイザリは「更新をインストールするまでは、これらの機種で新しいシードを生成しないこと」とも記している。
一方で、いくつかの条件下ではリスクが下がるとされる。シード作成時に50回以上の公平かつ独立したサイコロの目を追加し、その記録が外部に漏れていない場合、Coinkiteは「このRNGの問題だけを理由に危険とはみなさない」としている。強力なBIP-39パスフレーズを併用していた場合もリスクは大きく下がるが、アドバイザリは可能な限り早く新しいシードへ移行するよう促している。
推奨されている手順は、バックアップが正しく復元できることの確認、修正版ファームウェアの導入、新しいシードの生成、少額での送受信テスト、移行完了までの旧バックアップの保持、という順序である。
AIによる脆弱性発見という論点
Coinkiteは、攻撃者がこの不具合をどう見つけたかについて「誰かが当社の過去バージョンのファームウェアをAIでレビューしたと想定せざるを得ない」との見方を示した。5年以上気付かれなかった不具合が、大量のアドレスを同時に掃くだけの精度で突然突かれた点を根拠にしている。
同社は同時に、数週間前に自社コードへ利用可能な最良のモデルの一つを走らせたものの、このバグも他の重大な問題も検出できなかったと明かしている。攻撃者がAIを使ったかどうかは第三者による確認が取れておらず、現時点ではCoinkiteの推測として扱うのが妥当である。（参考: Bitcoin Magazine「Coinkite Releases Fixed Firmware After Coldcard Bug」）
自己保管とETFをめぐる議論の再燃
被害者の多くが、取引所に預けず自分でハードウェアウォレットを管理していた層だったことから、自己保管のあり方をめぐる議論が再燃した。ビットコイン系ポッドキャストの解説者であるGuy Swann氏は「これはビットコインの歴史上、最も知識があり『適切に保護していた』ビットコイナーに対する最悪の打撃だ」と述べた。
ARK Investでデジタル資産リサーチ部門のディレクターを務めるLorenzo Valente氏は「今日では、複数の上場取引所やETFに分散して保有した方が良い」と指摘した。同氏は、自己保管は取引先リスク（カウンターパーティリスク）を減らす代わりに「ソフトウェアリスク、ハードウェアリスク、サプライチェーンリスク、フィッシングリスク、バックアップリスク」を引き受けることだと論じている。
実務面の指摘も出ている。自己保管サービスCasaのCEOであるNick Neuman氏は、サイコロを使った乱数入力という推奨策について「99%の人にとっては論外だ」と述べた。Amicus共同創業者のDavid Lawrence氏は、新規の投資家が「IBIT（ブラックロックのビットコイン現物ETF）を買った方が安全だ」と結論づける可能性を挙げている。（参考: CoinDesk「Coldcard exploit reignites Bitcoin self-custody debate」）
もっとも、これらはいずれも事案直後の見解であり、実際に自己保管からETFへの資金移動が起きたかを示すデータは現時点で確認できていない。
今後の焦点
第一に、被害額が確定していない。攻撃対象になり得るシードは2021年から2026年にかけて作られたものすべてであり、まだ移動していない資金が残っている可能性がある。損失額の推計は事案直後から引き上げられ続けている。
第二に、Mk4/Mk5/Qの約72ビットという水準がどこまで現実的な脅威なのかという評価が定まっていない。Mk3ほど容易ではないとされる一方、想定の128ビットを大きく下回ることは同社も認めている。
第三に、監査体制の問題がある。Coldcardはファームウェアを公開しており、コードを誰でも検証できる状態にあった。それでも5年以上検出されなかった事実は、オープンソースであることが自動的に安全性を担保するわけではないことを示している。編集部の見方では、今回の事案は個別製品の不具合にとどまらず、シード生成という最も基礎的な工程の検証手法をどう強化するかという業界共通の課題を突きつけている（根拠: 不具合がビルド設定の判定漏れという静的解析で検出しうる種類のものであった点、およびCoinkite自身が自社レビューで発見できなかったと述べている点）。
出典
- CoinDesk — Major bitcoin wallet flaw drains 594 BTC in 25-minute sweep
- CoinDesk — Coldcard exploit reignites Bitcoin self-custody debate after $38 million theft
- Decrypt — $38M in Bitcoin Drained by Coldcard Key Flaw Its Maker Thinks AI Found
- COINKITE Blog — Coldcard Security Advisory
- Bitcoin Magazine — Coinkite Releases Fixed Firmware After Coldcard Bug; AI Likely Involved In The Breach
免責事項
本記事は情報提供を目的としたものであり、特定の暗号資産の売買や保管方法を推奨するものではありません。投資助言ではなく、最終的な判断と結果はご自身の責任となります。暗号資産は価格変動が大きく、元本を割り込む可能性があります。
ウォレットの移行手順については、必ずCoinkiteの公式アドバイザリなど一次情報を確認したうえで実施してください。
なお、本記事はAIを活用して作成しています。正確性に努めていますが、内容が事実と異なる可能性があります。重要な情報はご自身で公式・一次情報をご確認ください。
コメント