ビットコインセキュリティの砦コールドカード、ファームウェアの脆弱性露呈により1億3,000万ドルの損失と推定

ビットコインセキュリティの「ゴールドスタンダード」と呼ばれていたColdcardハードウェアウォレットのセキュリティ事故の余波が収拾のつかない事態となっている。Galaxy Researchは2026年8月4日、今回のハッキングによる総損失額が最大1億3,000万ドルに達する可能性があるとの分析結果を発表した。8月1日に初めて公開されたセキュリティ勧告から始まった今回の事態は、わずか4日でシステム的な危機へと発展し、市場全体に大きな衝撃を与えている。

特に今回の事故は、10年以上動きのなかった「クジラ」ウォレットまでもが資金を移動させる引き金となった。セキュリティに敏感な長期保有者がハードウェアウォレットの安全性に疑問を抱き始めたことで、資産保護のための大規模な資金移動が観測されている。これは単なる個別のハッキング事件を超え、ビットコイン保管インフラ全体に対する信頼の問題へと発展する様相を呈している。

Galaxy Researchの詳細な分析によると、現在までに約7,300のアドレスから合計1,596 BTCの盗難が確認された。これは3回の主要な攻撃の波と14件の小規模な事故を合算した結果である。Galaxy側は、まだ確認されていない「第4の攻撃の波」の被害規模まで合算した場合、盗難資産の総額は2,055 BTCを超えると見ている。

Galaxy Researchは、現在までに確認された1,596 BTCの盗難事実について高い信頼度を持っており、未確認の第4の波が含まれる場合、総額は1億3,000万ドルに達すると予測している。

今回の事態の根本的な原因は、2021年に配布されたColdcardファームウェアのシード生成の欠陥にあることが判明した。STM32ハードウェア乱数生成器（RNG）に関連するこの脆弱性は、約5年間潜伏したまま、最近になって本格的に悪用され始めた。製造元のCoinkiteは、当該ファームウェアを通じて生成されたシードフレーズが攻撃者に露出するリスクがあることを公式に認め、ユーザーに注意を呼びかけている。

危機のタイムライン：2026年8月1日～4日

8月初旬から始まった被害報告は毎日幾何級数的に増加し、ユーザーを驚愕させた。当初7,000万ドル規模だった推定被害額は、わずか3日で1億ドルを突破し、ハードウェアウォレット史上最悪のセキュリティ事故の一つとして記録される見通しである。

• 2026年8月1日：ザ・ハッカー・ニュース（The Hacker News）を通じて7,000万ドル規模のビットコイン盗難が報告される。
• 2026年8月2日：コインデスクおよびPYMNTSの報道により、被害規模が8,900万ドルに上方修正される。
• 2026年8月3日：フォーチュン（Fortune）誌が1億1,600万ドルの損失を確認し、さらなる被害の可能性を指摘。
• 2026年8月4日：ギャラクシー・リサーチが、未確認の攻撃を含めると総額1億3,000万ドルに達する可能性があると分析。

セキュリティ事故の余波は、市場内の長期保有者の行動変化として即座に現れた。2026年8月3日の月曜日には、12年間休眠状態だったビットコインウォレットから3,100万ドル相当の資金が移動したことが確認された。これはコールドカード（Coldcard）のセキュリティ侵害に対応し、資産をより安全な環境へ再配置しようとする「クジラ（大口投資家）」たちの広範な動きの一部と解釈される。

コインカイト（Coinkite）は、影響を受けるファームウェアを使用しているすべてのユーザーに対し、直ちに資金を新しいアドレスへ移動するよう促している。最も安全な保管手段としてマーケティングされていた機器で発生した今回の欠陥は、ハードウェアセキュリティに対するコミュニティの信頼に深い傷を残した。業界の専門家たちは、今回の事件が今後のハードウェアウォレットメーカーにおけるセキュリティ検証基準と監査プロセスを強化する重要な契機になると予測している。

第4の波と未確認のリスク

ギャラクシー・リサーチは、現在確認されている3回の攻撃以外にも、さらなる被害が発生している可能性を警告した。「第4の波」と名付けられた最近の攻撃の兆候は、従来よりも巧妙な手法で行われており、正確な被害規模の把握には時間がかかっている。ギャラクシー側は、現在分析中のデータが確定した場合、被害額が1億3,000万ドルを上回る可能性もあるという慎重な姿勢を見せた。

今回の事件は、ハードウェアウォレットが提供する「オフラインセキュリティ」の限界を如実に示した。ファームウェアレベルの欠陥は、ユーザーが機器をインターネットに接続していなくても資産盗難の経路になり得ることを証明したためである。ビットコインコミュニティでは、今回の事態を機に、単一のハードウェアウォレットに依存するのではなく、マルチシグ（Multi-sig）のような分散型セキュリティソリューションを導入すべきだという声が高まっている。

結論として、コールドカード（Coldcard）のハッキング事態は、暗号資産の保管技術の脆弱性を改めて浮き彫りにした事件である。2026年8月4日現在も被害規模が拡大し続けているため、ユーザーはメーカーの公式推奨事項を徹底的に遵守し、自身の資産が安全なファームウェアバージョンで管理されているかを再確認する必要がある。今回の事態による最終的な経済的・心理的余波は、今後数ヶ月間、市場に持続的な影響を及ぼすと予想される。