ColdcardのPRNG欠陥で5年間にビットコイン約86百万ドル相当が流出、1,367BTCを確認

Galaxy Researchが2026年8月2日までのオンチェーン分析として公表したマッピングによると、Coldcardハードウェアウォレットのファームウェアに2021年3月以降組み込まれていた疑似乱数生成器（PRNG）の脆弱性が悪用され、確認済みで1,367BTC（約86百万ドル）が4,585アドレスから流出した。確定被害額ベースではビットコイン史上最悪のハードウェアウォレット関連ハックとされ、フィッシングや端末への物理アクセス、ユーザー操作ミスを必要としなかったという。 Galaxyは、Coldcardで生成されたとみられるアドレスへの攻撃が第3波に入った可能性があると指摘し、この波だけで207.7294BTCが引き出されたとしている。観測できた被害の推計は1,367.05BTC（約88.6百万ドル）に達し、対象は4,585アドレスに拡大した。 本件は製品単体の不具合にとどまらず、自己保管（セルフカストディ）の安全性がハード／ソフトを問わず「シード生成時のエントロピー品質」に全面的に依存することを示す事例だと同社は位置付ける。前処理マクロの設定ミス1つで、その前提が警告もなく長期間にわたり崩れ得るという。 市場面では、このニュースが伝わる中、BTC/USDは当日1.4％安の62,250ドル。直近7日間は65,000ドル超から下落するなど値動きが荒く、24時間出来高は169億ドルと前日（200億ドル超）から減少した（TradingView）。 ■ 何が起きたのか：マクロ設定ミスがシード生成を弱体化 原因はBlockのエンジニアリングチームが特定したとされ、Coldcardのlibnguライブラリにある。CoinkiteはMicroPythonのRNGを無効化する目的でマクロに0を設定し、ハードウェアの真性乱数生成器（TRNG）を使う意図だった。ところがlibngu側のガードは「マクロが定義されているか」しか確認せず、0でも条件を通過。結果としてMicroPythonはSTM32のハードウェアRNG呼び出しをコンパイルから外し、ソフトウェアPRNGのYasmarangに依存した。 このYasmarangの実効エントロピーは約40ビット程度とされ、本来BIP39のシードフレーズに期待される128ビットに大きく届かない。後年のモデル（Mk4、Mk5、Q）では実効72ビット程度まで改善した推定があるが、理想値には不足する。40ビットと128ビットの差は攻撃難度に直結し、弱いシードが狙われやすくなる。 時系列では、Coinkiteが2026年7月30日にセキュリティ告知を出したが、その数時間後に約594BTCが500アドレスから流出する攻撃が発生。その後も2つの追加波が追跡され、8月2日時点で累計1,367.05BTC、4,585アドレスに達した。盗難BTCの大半は未使用のままで、攻撃者が資金移動のタイミングをうかがっている可能性が示唆されている。 ■ 暗号資産セキュリティの文脈：繰り返される"エントロピー不足" 今回の事案は、乱数の強度を前提にした設計が崩れた過去の事例とも重なる。2013年にはAndroidのSecureRandom不具合でECDSA署名のノンスが重複し、複数のビットコインウォレットで鍵が露出。2022年のWintermute事件では、バニティアドレス生成ツールProfanityが32ビットのエントロピーで鍵生成を初期化し、1.6億ドルが流出した。2023年の"Milk Sad"ではLibbitcoin Explorerのbx seedがシステム時刻で初期化したメルセンヌ・ツイスタを用い、期待される256ビットのエントロピーが約32ビット相当まで低下し、12万超のウォレットが露出したとされる。コードベースやチェーンが異なっても、"強いはずの乱数源が実は弱かった"という構造的失敗は共通している。 TRM Labsの政策責任者Ari Redbord氏は、本件を"自己保管はリスクを排除するのではなく移転する"ことの証左と説明。TRM Labsの2026年上期データでも、インフラや鍵の侵害は件数ベースで15％にとどまる一方、被害総額の76％を占め、過去最多となる207件のハックイベントで損失が拡大したという。 Galaxyは、攻撃者が管理している疑いのある約600アドレスを連邦当局、コンプライアンスベンダー、サイバーセキュリティ企業に報告したとしている。一方で、Coldcard由来との帰属はオンチェーンのヒューリスティクスに基づくもので、各アドレスについて計算によるシード再構成を行ったものではない点に注意を促した。