ZachXBT、Coldcardの約8,860万ドル流出追跡を見送り　"支援が乏しい"と説明

ブロックチェーン調査員のZachXBTは、Coinkiteのハードウェアウォレット「Coldcard」を巡る約8,860万ドル規模の不正流出について、資金の追跡・監視を行う予定はないと表明した。過去の調査活動に対してビットコイン界隈から十分な支援が得られてこなかったとして、協力する"義務は小さい"との考えを示した。 要点 ・ZachXBTはColdcard事件の追跡を辞退。ビットコイン保有者からの支援が弱いことを理由に挙げた。 ・CoinkiteのColdcard侵害では、2026年7月30日以降、4,585アドレスから合計1,367 BTCが流出した。 ・Galaxy Researchは盗難資金の追跡を継続。Coinkiteのメールデータ保持方針も新たな反発を招いている。 ZachXBTはXで、現時点でColdcard関連のオンチェーン追跡を行う計画はないと投稿。自身の時間は仕事を評価するエコシステムに充てるとし、いわゆるビットコイン・マキシマリストは調査への寄付者・支援者ではないため、協力する必要性は低いと述べた。この発言は、侵害が5日目に入り被害総額が拡大し続ける局面で出た。 Coldcard侵害の概要 問題の発端は、カナダのCoinkiteが製造するハードウェアウォレットのファームウェア欠陥にある。Coldcard Mk3で、バージョン4.0.1〜4.1.9を実行していた一部端末が影響を受け、シード生成時のエントロピーを専用ハードウェアチップではなくソフトウェアの乱数生成器で賄うケースが生じた。これにより、特定のシードが推測可能になったという。 最初の流出は2026年7月30日に発生し、約30分未満で休眠状態に近い約500のアドレスから約594 BTCが引き出された。当時の評価額は約3,800万ドル。Coinkiteは2日以内に修正版ファームウェアを提供したが被害は拡大し、8月2日時点でGalaxy Researchは、3回の攻撃波にわたり合計1,367 BTC（約8,860万ドル）が4,585アドレスから流出したと追跡している。 盗難のスピードと精度から、自動化ツール、場合によってはAI支援の仕組みで脆弱なアドレスを短時間で特定し、各"波"のたびに迅速に資金を抜いた可能性が取り沙汰されている。盗難資金の取引所への入金が増える動きも見られ、関連する古い休眠BTCが再び動き出すなど、状況は流動的だ。 データ保持問題で批判が拡大 事後対応も別の火種になっている。Coinkiteは不具合の警告のため、ストア購入やニュースレター登録などの記録に基づき、連絡可能な顧客メールアドレスへ一斉に通知を送付した。中には2019年まで遡る記録も含まれる。 この対応は、CEOのRodolfo Novakが以前に示していた「購入後90日で顧客データを削除する」「匿名購入オプションがある」といった説明と整合しないとして批判を招いた。その後、Coinkiteは購入時メールアドレスを無期限に保持していること、当該データに削除方針がないことを認め、ハッキングとは別の文脈で反発が広がった。Novakは、競合でも侵害は頻発しており、同社は本件を極めて深刻に受け止めているとして自社のセキュリティ実績を擁護している。 今回の一連の出来事はセルフカストディ（自己保管）への信頼を揺らし、より慎重な投資家が自分で鍵を管理する代わりに上場投資信託（ETF）などへ回帰する可能性も指摘される。事件はオンチェーン上の騒動にも発展し、犯人に向けた露骨なビットコイン・マネーロンダリング提案がビットコインのブロックチェーンへ直接投稿され、SNSとオンチェーンデータ上で"公開劇"の様相を呈している。 ZachXBTが距離を置く中、盗難に遭った1,367 BTCの追跡はGalaxy Researchなどの組織に一段と依存する構図となっている。同社は攻撃波ごとの更新を公表し、犯人ウォレットの動きに合わせて分析を続けている。 なお、Coldcard Mk3に影響したエントロピー不具合は、2021年3月のファームウェアビルドにまで遡る可能性があるとの報告も出ている。該当バージョンで生成されたウォレットシードは、修正版へ更新しただけでは十分でない場合があり、所有者がパッチ適用後に新しいシードへ移行（ローテーション）しない限り、4年以上にわたり露出リスクが残り得るとされる。