2021年のColdcardファームウェアの欠陥がビットコインウォレットを draining している

GalaxyがColdcard盗難の第4波を警告

Galaxy Research、リサーチ責任者アレックス・ソーンが率いる分析チームは、Coldcardハードウェアウォレットに保存されたビットコインを狙った第4の盗難波を報告しました。約2時間半の間に、約388.93ビットコイン（BTC）が218の取引を通じて移動したとGalaxy Researchは述べています。コインは462の被害者アドレスから移動し、216の新たに作成されたアドレスに着地しました。Galaxyは、影響を受けたウォレットが欠陥によって露出したColdcardの残高のオンチェーン形状と一致していると述べました。Coldcardは、ビットコインの鍵をオフラインで保存するCoinkite製のハードウェアウォレットです。

オンチェーンデータが自動スイープを示す

引き出しは手動ではなく機械的に見えました。Galaxy Researchは、波の間にブロックごとに約13.8回のスイープを測定し、事件前の静かなコントロールウィンドウの約45倍の速度でした。攻撃者は、盗まれたコインをプールするのではなく、各被害者のために新しい宛先アドレスを構築しました。ソーンは、この操作が故意でプログラム的に見え、恐らく大規模な言語モデル（LLM）で調整された可能性があると示唆しました。このアプローチにより、攻撃者は多くのウォレットを一度にスキャンして空にすることができました。

2021年のファームウェアの欠陥がウォレットのランダム性を弱めた

盗難は、2021年3月にCoinkiteのColdcardデバイスに導入されたファームウェアのビルドエラーに起因しています。このバグは、シード生成をデバイスの専用ハードウェア乱数生成器（RNG）ではなく、ソフトウェア擬似乱数生成器（PRNG）にルーティングしました。これにより、プライベートキーを秘密に保つためのエントロピーが不足したウォレットシードが生成され、多くのキーが推測可能になりました。その更新以降、影響を受けたファームウェアで生成されたすべての単一署名シードは同じ弱点を持っています。影響を受けたファームウェアは、その期間にリリースされたColdcardモデルにわたり、後のデバイスでも意図された128ビットよりもランダム性が少なくなっていました。Coinkiteはパッチをリリースし、露出したユーザーに資金を移動するように指示しました。

総損失は8800万ドルを超えた

損失は、7月下旬にこの脆弱性が表面化して以来、連続する波を通じて増加しています。Galaxy Researchは、累積総額が7500万ドルを超え、その後8900万ドル近くに達したことを追跡しました。この第4波がさらに追加される前に、7月下旬の早いスイープで約40分で1000以上のアドレスが空にされました。合計で、1,360ビットコイン以上が数千のアドレスから排出され、コインが移動されたときの価値は約8800万ドルです。Galaxyは、2021年の更新以降に作成されたColdcardアドレスは、保有者が資金を移動するまで露出したままであると警告しました。

ビットコインは発表時に約62,700ドルで取引されていた

ビットコインは発表時に約62,725ドルで取引されており、過去24時間で前回の終値に対して1.1%の下落が見られました（CoinPaprika、2026年8月3日）。その市場価値は約1.26兆ドルに達しました。ビットコインは、2025年10月に設定された126,000ドル近くの記録的な高値から約50%下落しています（CoinPaprika、2026年8月3日）。盗まれたコインはその総額の小さな割合を形成しています。しかし、影響を受けた保有者にとっては、排出された単一署名ウォレットは回復できないため、損失は深刻です。

影響を受けた保有者は迅速に資金を移動するよう促されている

Galaxy Researchは、まだ自分のキーを制御している保有者が対応できると述べました。彼らは、攻撃者がコインをスイープする前に、高い手数料で競合する取引を放送して、安全なウォレットにコインを移動できる可能性があると指摘しました。追加のパスフレーズまたは十分な手動のサイコロロールで作成されたシードは、露出したものとは見なされません。Coinkiteは、影響を受けたすべてのユーザーに遅滞なく行動するように促しています。Galaxyは、報告中に自動スイープがまだ資金を移動しているため、対応が緊急であると位置づけました。