Coldcardの長年のソフト不具合で1,128BTC（約7,110万ドル）が流出した可能性

カナダのCoinkiteが開発するハードウェアウォレット「Coldcard」で、約5年にわたり潜在していたソフトウェア上の欠陥が原因で、秘密鍵（復元シード）を再構成され、1,100BTC超が不正に移動された疑いが浮上した。Coinkiteは、脆弱性の発見にAI（人工知能）が関与した可能性にも言及しているが、現時点で裏付けはない。 要点 ・Coldcardで生成された一部の復元シードに関連して、合計1,128.4717 BTC（約7,110万ドル）が流出した可能性 ・CoinkiteはAIが欠陥発見を助けた可能性を示唆する一方、攻撃者の手法は未確定 ・影響を受けるシードを使っている利用者は、修正版ファームウェアで新規ウォレットを作成し、資金を移す必要がある 約500のアドレスから短時間で一斉流出 事案が表面化したのは7月30日。約500のシングルシグのビットコインアドレスから、当時約3,800万ドル相当の約594BTCが移動した。Bitcoin.com Newsは当初、送金が約25分の間に集中し、共通の技術的弱点を狙った動きに見えると報じた。 その後のオンチェーン分析で規模は拡大して捉えられ、研究者は約41分の間に1,082〜1,196のアドレスが影響を受けた可能性を指摘。専用ダッシュボード「Coldcard Sweep Watch」は総計を1,128.4717 BTCと集計し、ビットコイン価格が約63,044ドル近辺の時点で約7,110万ドルに相当するとした（画像はColdcard Sweep Watch、2026年8月1日午前8時30分［米東部時間］のスクリーンショット）。同日午前9時30分には推計が1,128.6633 BTCへ増加した。 資金の多くは数百BTCを保有する単一アドレスに集約され、その後は大きな動きが見られないという。影響アドレスに共通していたのは、復元シードがCoinkite製Coldcard端末で生成されていた点だ。復元シードはウォレットへのアクセス権を左右する単語列で、これを再構成・入手されれば端末が手元になくても資金移動が可能になるのが一般的だ。 乱数生成の不備でシードが弱体化 Coinkiteは緊急アドバイザリを公表し、Coldcard端末で生成された特定のシードが脆弱になり得ると警告した。とりわけリスクが高いのは、2021年3月頃に公開されたファームウェア4.0.1を搭載するMk3端末および以降のバージョンとされる。さらに分析が進み、緊急修正版ファームウェアの提供前に一部のMk4、Mk5、Q端末で作成されたシードにも懸念が広がった。 一方、Tapsigner、Opendime、Satscardは別系統のソフトウェアを使用しているため影響しないと報告されている。 問題の核心は乱数生成プロセスにある。安全なウォレットは高品質な乱数に依存し、復元シードが推測されないことを前提に設計される。最も深刻とされるMk3では、本来128ビットの強度が想定されるところ、実効的な乱数が約40ビット程度しか含まれていなかった可能性があるという。この差は決定的で、128ビットは総当たりが事実上不可能とされる一方、40ビットまで落ちると、十分な計算資源があれば候補シードをオフラインで試し、生成されるアドレスを公開ブロックチェーンと照合することで突破され得る。 新しい端末では、セキュアハードウェアが追加の予測不能要素を与え、実効約72ビット程度になった可能性もある。推測難度は上がるが、想定水準からは依然として大きく弱い。 原因はビルド時設定ミス、5年間見逃される Coinkiteによれば発端はビルド時の設定ミスだった。乱数生成に似た役割を持つ2つの関数が存在し、一方は端末のハードウェア由来の真性乱数生成器を使うが、もう一方はMicroPython由来の弱いソフト処理に依存していた。CoinkiteはMicroPython側を無効化する意図だったが、ソフトのチェックが「設定ラベルが定義されているか」だけを見ており、「値が0に設定されているか」を確認していなかった。その結果、完成したファームウェアが弱い関数を黙って選択し得る状態になった。 2つの関数は形式が一致していたため、コンパイルや実行で目立つエラーが出ず、問題は2021年のソフト移行の際に混入してから、公開ファームウェア上で5年以上残ったという。 現在端末をアップデートしても、欠陥のあるソフトで生成済みのシードは強くならない。影響を受ける利用者は、修正版ファームウェア（または別の安全な端末）で新しいシードを作り、資金を新シード管理下のアドレスへ移す必要がある。 なお、シード作成時に独立したサイコロの出目を少なくとも50回追加した利用者は、外部から十分な乱数を投入していた可能性がある（画像出典：X）。強力なBIP39パスフレーズも再構成を難しくし、複数端末の署名が必要なマルチシグ構成であれば、1つのシードが破られても単独で資金移動できない場合がある。 CoinkiteはAI関与を示唆、ただし証拠は未提示 CoinkiteのCEO、Rodolfo Novak氏はXで謝罪し、ファームウェア不備について全面的に責任を認めた。修正版ソフト、技術報告、影響ユーザー支援を進めると述べている。 同社とNovak氏は、欠陥が発見された経緯についても踏み込んだ見方を示した。ファームウェアが長年公開されていたことから、誰かがAIを使って過去のコードを精査し、弱い乱数経路を突き止めた可能性があるという。Novak氏は「AI支援のコードレビューが、業界最熟練の専門家の速度を上回って潜在バグを見つけ得る時代になった」と記し、オープンソース、または過去に公開されたファームウェアは攻撃者にも防御側にも読まれている前提で備えるべきだと警鐘を鳴らした。 現代のAIコーディングシステムは大規模リポジトリを処理し、設定値、関数、セキュリティ前提の不整合を洗い出し得る。攻撃者が弱い乱数生成器やフォールバック関数、暗号鍵に影響する不具合を探すよう指示することも考えられる。実際、複数の観測者が最新のAIモデルを活用し、Coldcardの手口を独自に見つけたとする情報もある（画像出典：X）。 もっとも、独立研究者がAIで問題を説明・再発見できたのは、乱数の不備という前提が分かった後だったとされ、攻撃者が最初からAIを使ったことの証明にはならない（画像出典：X、Coldcard WalletのAIに関するブログ投稿）。Coinkite自身も、主要AIモデルでの社内レビューでは盗難前に欠陥を見抜けなかったと認めており、AIが常に重大欠陥を自動検出できるわけではないことも示している。結果は指示内容、投入したコード量、人間側が警告サインを理解できるかに左右される。 「人の基本的な品質管理が先に破綻した」との批判も セキュリティ関係者の一部は、AIに焦点を当てすぎると、より根本的なエンジニアリング上の失敗を見誤ると指摘する。設定ミスは典型的なソフトウェア事故であり、通常のコードレビュー、テスト、あるいはシード生成に絞った監査で、何年も前に検出できたはずだという見方だ（画像出典：X）。 両者は必ずしも矛盾しない。脆弱性を生んだのは人為的ミスで、AIは発見・理解・悪用のコストを下げただけかもしれない。防御側は危険な弱点をすべて潰す必要があるのに対し、攻撃者は1つ見つければ足りる。 今回の件は、オープンソースの安全性に関する前提にも揺さぶりをかけた。コードが公開されていても、適切な箇所が精査され、微妙な欠陥が見抜かれ、攻撃に先立って報告されるとは限らない。 Coldcard利用者にとって当面の優先事項は、手元のシードがいつ・どの端末／ファームウェアで作られたかを確認することだ。影響が疑われる場合は、Coinkite公式チャネルの手順を確認し、修正版を導入して新シードを生成、フィッシングや偽サポートに警戒しながら慎重に資金を移す必要がある。 今後は、流出したビットコインの総量、攻撃者特定の可否、AIが決定的役割を果たしたかが焦点となる。ハードウェアウォレット各社には、エントロピー（乱数）検証、ビルド設定の監査、古いコードの継続点検を、人手と対抗的AIツールの双方で強化する圧力が高まりそうだ。