Coldcardのシード生成不備を突く攻撃、休眠約500ウォレットから約600BTC（約3,800万ドル）流出

Coldcardのハードウェアウォレットを狙ったシードフレーズ関連の不正利用により、昨日、約500の休眠ウォレットから約600BTC（約3,800万ドル）が流出した。資金は約25分の間に、500の単一署名アドレスから1つのアドレスへ集中的に移されており、攻撃は継続する可能性があるとの報告も出ている。 Coinkiteは、Mk3および2021年3月以降の更新版（v4.0.1以降）において、シード生成が実際にはランダムではなかった可能性があると認めた。Coldcardは当初の分析として、リスクはMk3に限られ、Mk4、Q、Mk5は影響を受けないとしていた。 一方、Blockは原因をコンパイル時チェックの誤記に起因するバグと特定。さらに新しいデバイスでも、同種の欠陥が小規模ながら実在することを確認した。 ■ なぜ重要か ハードウェアウォレットの脆弱性は自己保管（セルフカストディ）への信頼を揺さぶり、影響範囲が不透明なままではユーザーが資金移動に踏み切る圧力が高まる。 ■ 市場心理 弱気、ストレス優勢、イベント主導、リスク削減。 背景には、休眠Coldcardウォレットからの約3,800万ドル相当のBTC流出が自己保管の安全性への不信を強め得る点がある。 ■ 過去の類似事例 2022年、Solanaエコシステムではウォレットからの資産流出がSlopeに起因すると特定され、約8,000ウォレットが影響を受けた。Slopeは新しいシードフレーズでウォレットを作成し、資産を移すよう推奨した（The Block）。当時はソフトウェアウォレットの露出が中心だったのに対し、今回はハードウェアウォレットのシード生成が論点となる。 ■ 波及経路 最大の波及はセルフカストディへの信頼だ。シード生成が弱い場合、休眠ウォレットが一転して損失リスクを抱える。攻撃継続が事実であれば、影響ユーザーは資金移行を急ぎ、保管ツール全体への監視も強まる。新しい機種まで影響範囲に含まれる場合、懸念はMk3利用者にとどまらず拡大する。 ■ 機会とリスク 機会：CoinkiteまたはBlockが影響するファームウェア範囲を絞り込めれば、該当範囲のデバイスに限定して資金移動を行うことで運用リスクを抑えられる。修正内容の公表とともに不正流出が止まれば、影響外デバイスへの信頼は持ち直す可能性がある。 リスク：同じ脆弱性による追加流出が確認されれば、影響が疑われるハードウェアウォレットへの依存度を下げることが現実的なリスク管理シグナルとなる。新しい機種も欠陥範囲に含まれるなら、シードの入れ替え（ローテーション）を先送りするほど継続的な侵害リスクが残る。