Coldcardの脆弱性で約3,800万ドル相当が流出、セルフカストディの安全性を巡り議論に

ビットコインの魅力として長年語られてきたのが、銀行や取引所を信用せずとも資産を守れるという点だ。その前提が大きく揺らいでいる。ハードウェアウォレット大手Coinkiteの「Coldcard」に見つかった欠陥により、攻撃者がウォレットの復元フレーズ（シード）を再現し、利用者が安全にセルフカストディしていると信じていたビットコインを盗み出せる可能性が判明した。脆弱性はすでに修正されたが、影響は収束していない。 CoinkiteのCEOであるNVKは公開書簡で、「Coldcardでシードを生成した人は、まず資金を移動してほしい」と呼びかけた。修正版は今後生成するシードを保護する一方、脆弱なファームウェアで既に生成されたシード自体のリスクは消えないためだ。影響を受けた利用者は新しいウォレットを作成し、資産を移す必要がある。ファームウェア更新だけでは不十分とされる。 今回の事案は、ビットコインが金融の主流に入りつつある中でのジレンマを浮き彫りにした。セルフカストディは暗号資産を象徴する要素である一方、秘密鍵を安全に管理する技術的負担が一般投資家を専門カストディアンや取引所、規制下の商品へと向かわせる圧力になり得る。ビットコイン支持者の一部は、セルフカストディにおける過去最大級の失態の一つだと捉えている。 ビットコイン解説者のGuy Swannは、「これは取引所がホットキーの問題でハッキングされた話ではない。何千人もの個人が、足元から自分の秘密鍵を再現されてしまった」と述べ、「最も知識があり、"正しく守っている"と思われていたビットコイナーに対する、ビットコイン史上最悪級の打撃だ」と評した。 中央集権型取引所の破綻リスクを避ける手段として秘密鍵の自己管理が推奨されてきたが、アナリストは「リスクが別の形に置き換わっただけ」と見る。ARK Investでデジタル資産調査責任者を務めるLorenzo Valenteは、「セルフカストディ用ハードウェアの領域は現状では混乱状態で、業界の評判を損ねる要因になっている」と指摘。「実際のところ、消費者はカウンターパーティーリスクを、ソフトウェアリスク、ハードウェアリスク、サプライチェーンリスク、フィッシングリスク、バックアップリスク、そして一度のミスで全てを失うリスクに置き換えただけだ」と述べ、「率直に言って、複数の上場取引所やETFに分散して保有する方が今はましだ」と語った。 研究者によれば、問題の一部ファームウェアはウォレットのシード生成に意図より少ない乱数しか用いておらず、総当たり攻撃（ブルートフォース）に弱かった。推奨された対策にも批判が出た。CasaのCEO Nick Neumanは、利用者がウォレット生成の乱数を物理的なサイコロの出目で補うよう促すガイダンスを引き合いに、「セルフカストディを安全にするためにサイコロを振れ、というのは無理がある。99%の人にとって現実的ではない」と述べた。 セキュリティ環境の変化も論点だ。AIの進展でソフトウェア脆弱性の発見コストが下がり、サイバー脅威の進化は加速している。Taproot開発者として知られるUdi WertheimerはXで、「秘密の場所に置いたビットコインが、何もせずに安泰という考え方は今や非現実的だ」と投稿した。セキュリティは一度設定して終わりではなく、保有者自身が継続的に新たな脅威を追うか、専門チームを持つプロのカストディアンに依存する必要が高まっているという。「心配したくないなら、代わりに心配してくれる誰かに金を払う必要がある」と述べた。 この事案は暗号資産攻撃の大きな潮流とも一致する。ブロックチェーンセキュリティ企業Blockaidによると、2026年上期の損失の多くはスマートコントラクトのハッキングではなく、鍵の侵害や運用面のセキュリティ不備に起因していた。Blockaidの共同創業者兼CEO Ido BenNatanは、「Coldcardもそのパターンで、露呈の起点は鍵生成の段階だった」と述べた上で、「ハードウェアウォレットの安全性は、利用者が目にしないファームウェアやシステムに大きく左右される。利用者が資産を管理し始める前段階で保護策を組み込む必要がある」と強調した。 一方、ハードウェアウォレット各社は、セルフカストディそのものの欠陥というより、セキュアな設計・実装の重要性を示した事例だと主張する。TangemのCTO Andrew Lazutkinは、「オープンソースのファームウェアが自動的により高い安全性を意味するわけではない」と述べ、「安全性は強固なアーキテクチャ、徹底したテスト、独立した検証から生まれる」と語った。 今回の件は、現物ビットコインETFが一般投資家の資金を集める局面で、機関投資家型のカストディを後押しする可能性もある。Amicus共同創業者のDavid Lawrenceは、Coldcardのような事件が新規投資家を秘密鍵の自己管理から遠ざけ、BlackRockのiShares Bitcoin Trust（IBIT）のような規制下の商品へ向かわせるとみる。「"ビッグ・ビットコイン"にとって、これもまた追い風だ。ビットコインを持ちたい人は"IBITを買う方が安全"と言うようになる」と述べた。 Lawrenceは、ビットコインの古い理想に転機をもたらす恐れがあるとも指摘する。「将来80億人がコールドストレージでビットコインを保管するという考えを信じる人々にとって、これは致命的だ。その夢は終わった。完全に終わった」と語った。