ハードウェアウォレットの脆弱性で1.3億ドル超が盗難

ブロックチェーンセキュリティ企業Galaxy Researchおよび暗号資産監視企業Ellipticの共同創業者・主任科学者Tom Robinson氏によると、被害総額は2026年8月4日時点で約1億3000万ドルに上ると推定されており、複数のハッカーグループが関与しているとみられている。

攻撃の仕組みは、Coldcardウォレットのシードフレーズ（秘密鍵の基となるパスワード）生成プロセスに起因する。セキュリティ研究企業Blockの研究者が明らかにしたところによれば、Coldcardのシードフレーズ生成に使用されていたコードに2021年から存在していた1行の脆弱性により、生成されるシードフレーズが予測可能な状態にあった。ハッカーはこの欠陥を利用して、被害者のシードフレーズをブルートフォース攻撃で再現することができたとされる。

Coldcardはインターネットに接続しないオフライン環境で秘密鍵を管理する「コールドウォレット」であり、オンライン型の「ホットウォレット」と比較して安全性が高いとされてきた。被害者の一人であるJonathan Goodman氏はX（旧X）上で「シードフレーズを誰にも共有しなかった。デバイスをインターネットに接続したこともない。複数の金庫や貸金庫に保管していた」と述べたうえで、「それでも1.6百万ドルが奪われた。すべては2021年のコード1行の脆弱性が原因だ」とコメントした。

Coinkiteは木曜日にアドバイザリを公開し、土曜日に更新。ユーザーにデバイスのアップデートと新しいシードフレーズへの移行を呼びかけた。同社はTechCrunchのコメント要求に対し、現時点で回答していない。

なお、ブロックチェーン監視企業TRM Labsによると、2026年に入ってから暗号資産企業を標的とした攻撃は200件以上に達しており、損失総額は9億5000万ドルを超えている。