Coldcardのファーム不具合で5,200超のアドレスから1,816BTC流出

Coldcardで過去に生成されたシードの一部が推測可能になるファームウェアの不具合が原因で、攻撃者が4回に分けて連携した引き出しを実行し、5,200超のアドレスから約1,816BTCを移動させた。 被害を訴えるユーザーのJonathan Goodmanは、7月29日に自身の保有ウォレットが7分で全て空になったと説明。インターネットに一度も接続していないColdcardで保管していた18.25BTCも含まれていたという。別のユーザーTim Lambは、近隣の協力を得てウォレットを復元する前に2BTCが引き出されたと述べた。 不具合により攻撃者が秘密鍵を再現できる可能性があるため、影響を受けた利用者は資金移動を急いでいる。製造元Coinkiteは全モデル向けの修正済みファームウェアを公開し、出荷を停止。問題のファームウェアを搭載した在庫は廃棄した。 ■注目点 シード生成の失敗は、オフライン保管を前提とする自己保管ツールでも鍵漏えいに直結し得る。今回の事案はハードウェアウォレットに対する信頼低下につながる可能性がある。 ■市場センチメント 弱気／ストレス高／テック起因／リスク低減。 背景として、生成シードが推測可能になったことで、影響を受ける自己保管環境への信頼を落とし、保守的な保管行動が強まるとの見方が出ている。 ■過去事例 2023年6月にはAtomic Walletで不正流出が発生し、被害総額は3,500万ドル超と報じられた。Atomic側は月間アクティブユーザーの1%未満が影響を受けたとしている。原因が明確にならない中、ユーザーに緊急の移転や追跡対応が広がった（Fortune）。今回との違いは、Atomicがホットウォレットの事案だったのに対し、Coldcardはハードウェアウォレットのシード生成不具合に起因する点にある。 ■波及の可能性 シード生成の欠陥は、個別の資金流出にとどまらず、鍵ローテーションの緊急性やウォレット移行の増加を通じて自己保管全体への不信に広がり得る。流出した可能性のあるシードに残高が残る限り、復旧手順が完了する前に追加の引き出しが続くリスクがある。影響の有無を利用者が自力で検証できない場合、ハードウェアウォレット利用者全体で保守的な保管行動が強まる可能性もある。 ■機会とリスク 機会：修正済みファームウェアを確認し、影響のない新規生成キーへ資金を移すことは、露出したウォレットのリスク低減シグナルになり得る。 リスク：影響を受けたシードに資金が残る場合、当該ウォレットへのエクスポージャーを早期に削減しないと、追加の組織的な引き出しによる下振れを招く恐れがある。