Galaxy Research、Coldcard被害の推定損失を約7,020万ドルに拡大

Galaxy Digital傘下の調査部門Galaxy Researchは、Coldcardウォレットを巡るインシデントについてオンチェーン分析を拡張し、影響を受けたビットコイン（BTC）アドレスを1,196件特定した。7月30日、UTCで午前1時10分から1時51分までの41分間に、これらのアドレスから合計1,082.65 BTCが流出。当該取引時点の評価額は約7,020万ドルに上るという。 同社の追跡によれば、資金移動はブロック960,183〜960,191に集中しており、Coldcardが最初のセキュリティ勧告を公表する約30時間前に発生していた。被害が初動対応より先に進行していた可能性を示す形だ。 Galaxy Researchは、今回確認した取引群にオンチェーン上の共通パターンがあるとも指摘。手数料が一律で「30 satoshis per virtual byte」と同一で、かつお釣り（change output）が存在しないという特徴が見られ、関連取引のクラスタリングに役立つとしている。一方で、今後の追加的なスイープ（回収）では同じ指紋が維持されない可能性があり、このパターンだけに依存した集計は被害総額を過小評価する恐れがあると警告した。 先行する推計としては、AnchorWatchのCEO兼共同創業者であるRob Hamiltonが、より狭い範囲のオンチェーン活動を基に、3ブロックの短い区間で594.48 BTC（当時約3,800万ドル）が約500件の取引で移動したと見積もっていた。Galaxy Researchの分析は、対象アドレスと追跡時間帯を広げることで、スイープに起因するBTC総量がほぼ倍増する結果となった。 Coldcardの製造元Coinkiteは原因について、ファームウェアの不具合を認めた。金曜日にXへ投稿した共同創業者Rodolfo Novakは、問題の全容把握を進めているとした上で、ソフトウェアのフォールバック経路を取り除くためのホットフィックスを公開したと説明。ただし、この更新は脆弱なファームウェア上で生成されたシード（seed）を保護するものではないとも強調している。 そのため、影響期間中にシードフレーズを作成した可能性がある利用者には、新しいシードへ資金を移すよう推奨される。シード生成や関連処理に関わる脆弱性の場合、ファームウェア更新だけでは既に生成済みの鍵素材を遡って安全化できず、実務上の復旧は「新しい鍵素材への移行」が中心になる。 Galaxy Researchは、今回の特徴的な取引パターンが追跡の足掛かりになる一方、今後の動きが同じ形で現れるとは限らないとして、利用者は残高の移行を優先しつつ、関連アドレスの動向監視を継続する必要があるとしている。