Coldcardの脆弱性悪用、盗難は1,719BTCを確認　被害総額は1.3億ドル超の可能性

Coldcard（ビットコイン用ハードウェアウォレット）を巡る不正流出の規模が具体化しつつある。Galaxy Researchは、複数のユーザー口座で少なくとも1,719BTCが盗まれたと高い確度で確認した。直近相場で約1億1,100万ドル相当になるという。 被害はこれで打ち止めとは限らない。元報道で引用された同チームの最新評価では、未確認の事案が精査されれば損失総額は1億3,000万ドルを上回る可能性が高いとしている。攻撃手法は25種類超が特定され、捜査側は複数の脅威アクターが同じ脆弱性を並行して悪用しているとみる。被害申告は増え続けており、Galaxyは250人超から報告を受領。全件が確認されれば、流出は2,300BTC超に膨らむ余地がある。 影響が確認されている端末は、Coldcard Mk3、Mk4、Mk5、およびQモデルに限られる。ほかの署名デバイスやウォレットに不具合が波及した証拠はなく、GalaxyもColdcardのエコシステム外の関連ソフトウェアやファームウェアが侵害されたとは示していない。 今回の事件はセルフカストディ文化の根幹を揺さぶる。Coldcardは、エアギャップ運用を前提にした高セキュリティのビットコイン・ハードウェアウォレットとして広く認知されてきた。長期間にわたる悪用が示唆される中、この規模で破られたことは、資産の大半を同製品に依存してきたユーザーの信頼を大きく損なう。 政治面への波及も避けにくい。ワシントンではセルフカストディ保護を巡る議論が続く中、上院で重要な暗号資産法案の採決を控えたタイミングで大規模な悪用事案が表面化した。ハードウェアウォレットは「最終防衛線」として販売されてきた一方、サプライチェーン攻撃、ファームウェア改ざん、物理的サイドチャネルなどのリスクが残る点も改めて意識される。 侵入経路の詳細はCoinkite（Coldcardのメーカー）やGalaxyから公表されていない。ただ、多数の攻撃パターンが存在することは、単一のバグに起因しない可能性を示す。乱数生成器の設定不備、サプライチェーンの一部コンポーネント侵害、端末の通信プロトコルの欠陥など、複数要因が関与している可能性がある。資金を失ったユーザーにとっては、ビットコインの不可逆性が回収をほぼ不可能にする点も痛手だ。 被害者が250人超に達したことで、Coinkiteには法的・レピュテーション面の圧力が強まっている。同社は詳細な技術的ポストモーテム（事後分析）をまだ公表しておらず、既存ハードウェアへのパッチ適用が可能なのか、交換が必要なのか、市場は判断材料を欠いたままだ。現時点ではColdcardの製品群に限定されるとみられるが、複数の攻撃者が独立して動いている状況は、脆弱性が一部コミュニティで以前から知られ、非公開のまま流通していた可能性も示唆する。被害が拡大して初めて表面化した、という見立ても否定できない。 機関投資家の観点では、デバイス選定の監査が一段と厳格化しそうだ。マルチシグ構成や、カストディアン型のコールドストレージへの回帰が進む可能性がある。保険の論点も再燃する。セルフカストディ利用者の多くは無保険である一方、規制下のカストディサービスでは保険を組み込むケースが一般的だ。 損失が「1.3億ドル超」に達する可能性があるという数字は、ビットコインの時価総額全体から見れば小さい。それでも、ウォレット提供者の位置づけや監督のあり方を法当局が検討する局面では、規制当局の関心を呼ぶ規模といえる。 なお、未解決の論点は多い。Galaxyの報告では、攻撃者がどのように秘密鍵を持ち出したのか、あるいはデバイスへの物理アクセスなしに取引署名を実行できたのかが明確でない。出荷や販売過程、または侵害されたリセラーを通じて攻撃者が一時的に端末へアクセスし、その後は継続的な接触なしに資金を抜き取れた可能性もある。25種類超のパターンが存在する以上、複数の手口が併用された公算が大きく、非公式ソースから入手した悪意あるファームウェア更新を、被害者が気づかず適用していた可能性も排除できない。 コミュニティは、Coldcardブランドが信頼を回復できるかを見極める局面にある。ハードウェアウォレットの安全性は暗号設計だけでなく「信頼」に依存する。数千枚規模の流出でその信頼が損なわれた以上、回復には時間を要するだろう。他社が本件を材料に自社製品の優位性を訴求する動きも見込まれる。業界への教訓は明確だ。セルフカストディには継続的な警戒が不可欠で、単一のデバイスを万能の盾とみなすべきではない。