Coldcardに乱数不備、盗難ビットコイン約1.3億ドル規模との関連指摘

カナダのCoinkiteが開発するビットコイン専用ハードウェアウォレット「Coldcard」を巡り、シード生成時の乱数不足が原因で大規模な資金流出につながった可能性がある。Blockの調査内容をThe Hacker Newsが2026年8月1日に報じた。 今回の論点は、端末が"オフライン"であること自体が防御にならないケースがある点だ。攻撃者は被害者のColdcardに触れておらず、ネットワーク経由でデバイスへ侵入した形跡もない。代わりに、候補となるシードフレーズをオフラインで再現し、公開ブロックチェーン上のデータと照合して正解を突き止めたとされる。 ■原因：2021年3月のビルド設定ミスが乱数生成を弱体化 Blockは、不具合の起点を2021年3月にさかのぼる製造時の設定ミスだと特定した。報道によると、ビルドで「MICROPY_HW_ENABLE_RNG」というマクロが0として定義されていた。Coinkite側は独自のハードウェア乱数生成器（RNG）ラッパーを提供していたものの、ライブラリ「libngu」が当該マクロの"存在"のみをチェックし、オンになっているかどうかを確認していなかったという。 その結果、影響を受けたビルドではMicroPythonのフォールバック生成器「Yasmarang」が使われる状態になった。Yasmarangはチップ固有IDとタイマレジスタを初期値に用い、その後の追加的なランダムネス収集を行わないとされる。 Coinkiteは推定エントロピーを、Mk3で約40ビット、Mk4/Mk5/Qで約72ビットと見積もる。一方、標準的な12語のBIP39シードが想定する強度は128ビットだという（The Hacker News）。Blockは実用的な総当たりのベンチマークは公表せず、条件付きの上限を示した上で、より高い見積もりでも"真の73ビット相当の暗号強度"を意味しないと注意喚起した。 現時点で、本件に関して特定被害者のシードを復元し、資金が抜かれたアドレスと一致させた公的報告は確認されていない。 ■"オフラインでも安全"という想定を外した攻撃モデル ハードウェアウォレットはインターネットに接続しない運用を前提に選ばれがちだが、今回の弱点は"鍵（シード）を生成した瞬間"に埋め込まれた。The Hacker Newsによれば、Blockは、デバイス固有IDやタイマ状態、過去の乱数呼び出し状況を絞り込めれば、候補シードのストリームを生成してオフラインで試行し、公開チェーンデータで検証できるとした。金庫や保管庫にある実機は攻撃面にならない。 ■オンチェーンで観測された大規模スイープ Galaxy Researchは、2026年7月30日に41分間で1,196のビットコインアドレスがスイープされ、1,082.65 BTC（当時約7,020万ドル）が移動したと整理した（The Hacker News）。同社は、直近30日で同一の手数料率やおつり無し（no-change）署名を共有する他取引が見当たらないとも述べた一方、スイープは"所有者が自分でコインを移動した場合"とも見た目が同じで、パターンは運用主体の識別に資するが盗難の立証ではないと警告した。 その後、Galaxyは追加の2波を疑い、観測合計を4,585アドレスで1,367.05 BTC（約8,860万ドル）に引き上げた（The Hacker News）。ただし、後続の波が最初の2波と同一主体とは限らず、フラグ付けした全アドレスが弱エントロピー不具合に由来するかも計算的に確認できていないとしている。 ■ハードウェアかソフトウェアかではなく、乱数コードが単一障害点 鍵生成時の乱数不足はハードウェア特有の問題ではない。The Hacker Newsは、Coinspectの別調査「Ill Bloom」が、古いソフトウェアウォレットの弱いPRNG不備により、5月以降にビットコイン、イーサリアム、Tron、Rootstock、Polygonのアドレスで500万ドル超が流出した事例と結びつく可能性を示したと報じた。両者は別インシデントであり同一バグではないとされるが、専用端末であれスマホアプリであれ、乱数を生むコードがウォレットの依存点になることを浮き彫りにする。 一方で、エントロピーとは別のリスクとして、ファームウェア更新という供給網上の信頼問題もある。Cointelegraphは本件の要約で、私鍵への秘匿アクセスを狙う主体にとってファームウェア更新は"完璧な攻撃ベクター"になり得ると広く論じ、2018年のLedgerの脆弱性を例示した。ただしColdcardの件は、2021年に一度入り込んだ意図しないコーディング/設定ミスが原因とされ、意図的に改変された更新とは異なる失敗モードであり、両者の関連を示す証拠はない。 ■修正は"これから"を守るが、"過去"は消せない The Hacker Newsによれば、Coinkiteは影響を受ける全モデル/リリーストラック向けに2026年7月31日に緊急ファームウェアを提供した。同日CoinDeskが引用した公開書簡で、Coinkite CEOのNVKは保有者に対し"今すぐ資金を移動してほしい"と呼びかけた。 パッチ導入で新規シードが不具合を引き継ぐことは防げるが、脆弱なファームウェア上で既に作られたシード自体は修復されない。その古いシードを、修正済みファームウェアや別ウォレットに復元しても弱点は持ち越されると両メディアは伝えている。曝露は"当時どのファームウェアでシードを生成したか"で決まる。 Coinkiteの整理では、Mk3は4.0.1〜4.1.9が影響範囲で、4.2.0で修正。Mk2は名指ししていない。一方、Block側の説明ではMk2とMk3の4.0.0〜4.1.9が脆弱経路にあるとされる（The Hacker News）。Mk4/Mk5は5.6.0未満、Qは1.5.0Q未満が影響。エッジビルドでは6.6.0X（Mk4/Mk5）未満、6.6.0QX（Q）未満も影響すると報じられた。 Coinkiteは、少なくとも50回の公平で独立した非公開のサイコロロールで生成したシードは、本不具合単体のリスクはないとしている。ただし回数や秘匿性が不確かな場合は移行を推奨する。強固でユニークなBIP39パスフレーズは、単語だけでは到達できない別ウォレットを作るが、それでも基盤となるシードの置き換えを勧める。マルチシグは署名クォーラムが影響デバイスのみで構成されない場合に限り防御になり得る。 TAPSIGNER、OPENDIME、SATSCARDは別コードベースで影響を受けないとされる（The Hacker News）。 ■被害額は推移、確定値はなし オンチェーン追跡が継続中のため、報道時点によって数字が異なる。いずれも監査済み・確定の損失額ではない。 ・2026年7月31日：3,800万ドル（CoinDesk） ・2026年8月1日（初回スイープ）：1,082.65 BTC（約7,020万ドル、Galaxy Researchを引用、The Hacker News） ・同報道内の更新：1,367.05 BTC（約8,860万ドル）、4,585アドレス（Galaxy Researchを引用、The Hacker News） ・日付不明：1億ドル超（Bloomberg） ・2026年8月4日（"火曜日時点"）：約1.3億ドル（Galaxy Researchを引用、TechCrunch）。Elliptic共同創業者兼チーフサイエンティストのTom Robinsonも口頭でおおむね妥当とした 参考としてTechCrunchは、TRM Labsの推計として、2026年は暗号資産企業を狙うハッキングが200件超発生し、被害総額は9.5億ドル超に達したと報じた。これは業界全体の数字でありColdcard単独ではない。 また、Jonathan Goodman氏はXで、シードを共有せず端末もインターネットに接続していないにもかかわらずColdcardから160万ドル相当を失ったと投稿したが、これは自己申告で、ここで参照する証拠では検証されていない。 ■本稿で確定できない点 本件の最終的な損失総額は断定できない。上記の数値はいずれも、Galaxy Researchが継続中とするオンチェーン調査の時点スナップショットに過ぎず、媒体ごと・日付ごとに差がある。Bloombergの"1億ドル超"は、このページが保持する証拠では掲載日が確認できず、他の数値との時系列比較も限定される。 Coinspectの「Ill Bloom」がColdcardの不具合と技術的に関連するかどうかも不明で、The Hacker Newsは別件として扱っている。Cointelegraphのファームウェア一般論は要約と短い引用のみで、エントロピー不具合とは異なるリスク（更新経路の侵害）を述べるものであり、同梱の他ソースで裏付けられていない。 攻撃者の特定はどの媒体も行っていない。Galaxy Researchも、後続の波が先行の波と同一主体だと見なすべきではないと明言している。さらに本稿は、Coinkiteの正式アドバイザリ、Blockの研究論文、Galaxy Researchの原報告書といった一次資料を保持しておらず、ここに記したエントロピー推計や脆弱ファームウェア範囲はニュース報道を通じた二次情報である。 （出典：The Hacker News、CoinDesk、TechCrunch、Bloomberg、Cointelegraph。相違がある箇所は本文で明示した）