Coldcard流出被害、約1.14億ドル規模に拡大──第4波のスイープ攻撃を確認

要点：Coldcardのハードウェアウォレットで保管されていたビットコインを狙うスイープ攻撃が第4波に入り、木曜日以降の推定被害額は約1.14億ドルに達した。 Galaxyで全社リサーチを統括するAlex Thorn氏によると、最新の波では潜在的な被害アドレス709件から合計448.7 BTCが移動された。 製造元Coinkiteは影響を受ける全モデル向けに緊急ファームウェアを提供し、出荷を停止。ユーザーに対し、新たに生成したシード（seed）へ資金を移すよう求めた。CEOのRodolfo Novak氏も、Coldcardでシードを生成したユーザーは直ちに資金移動を行うべきだと述べた。 BlockのBitcoin EngineeringおよびSecurityチームは、原因を2021年3月1日のコミットに特定。シード生成がMicroPythonのYasmarangソフトウェア乱数生成に迂回される実装になっていたという。 重要性：ウォレットのシード生成に欠陥があると、自己保管（セルフカストディ）への信頼を直接損ない、鍵が推測可能だと認識された場合に資金の緊急移転を招きやすい。 市場の受け止め：弱気、ストレス高、イベント主導、リスク削減。 根拠：木曜日以降のColdcard関連の推定被害が約1.14億ドルに達し、影響を受けたビットコイン保有者のカストディ面のストレスを示唆する。 過去の類似例：2023年6月のAtomic Wallet侵害では、ユーザー報告ベースで3,500万ドル超の流出が発生。Atomic Walletは後に、月間アクティブユーザーの1%未満が影響を受けたと説明した（Cointelegraph）。今回のColdcardはハードウェアウォレットのシード生成が焦点で、Atomic Walletはソフトウェアウォレットの事案だった点が異なる。 波及：シード生成の弱さは、カストディリスクを「即時の移転リスク」に転化させる可能性がある。攻撃者が秘密鍵を再現できると見なされれば、ユーザーは資金移動を急ぐ。mempoolに置換可能（replaceable）な取引が継続して現れる場合、手数料の上乗せ（fee bidding）の動きから、被害者が攻撃者と競争しているのか、波が収束しているのかを読み取れる。ハードウェアウォレット各社には、ファームウェア審査やエントロピー設計を巡る監視強化が及ぶ見通し。 機会とリスク： 機会：緊急ファームウェア適用と新規シードへの移行で追加スイープが止まれば、自己保管の信頼回復が安定化のシグナルとなり得る。 リスク：mempoolで置換可能なスイープ取引が出続ける場合、脆弱な資金を新規シードへ移すことが引き続き最大のリスク低減シグナルとなる。