Coldcardのシード生成に欠陥、第4波疑いを含め約1,816 BTC流出の暫定推計—競合取引は被害者と攻撃者の双方の手段に

Last Updated on 2026年8月4日 by Co-Founder/ Researcher

インターネットに一度も接続していない端末で、貸金庫にしまってあったBitcoinが、7分で消えました。攻撃者はその端末に触れていません。鍵が生まれた瞬間から、当たりを引きやすい宝くじだったからです。原因は、値がゼロのマクロを「定義されている」と判定した一行のチェックでした。

Coinkiteは2026年7月30日、ハードウェアウォレットColdcardのシード生成に欠陥があると公表し、8月1日に更新した。同社はMk2とMk3のファームウェア4.0.1から4.1.9を対象とするが、Block Engineeringはコード履歴から2021年3月17日公開のv4.0.0が起点だとしており、一次資料間で開始版の記載が異なる。

Mk4、Q、Mk5も修正前のシードは約72ビットのエントロピーしか持たない。Blockの解析によると、libnguがMICROPY_HW_ENABLE_RNGの値を検証しなかったため、STM32のハードウェアRNGではなくMicroPythonのYasmarangフォールバックが使われていた。Coinkiteは4.2.0、5.6.0、1.5.0Q、6.6.0X、6.6.0QXを配布し、脆弱性確認時に出荷を一時停止するとともに、影響ファームウェアを搭載した残存在庫を破棄した。

Galaxy Research責任者アレックス・ソーンの分析を基にした8月3日時点の暫定推計では、第4波とみられる活動を含め、5,200を超えるアドレスから約1,816 BTC、約1億1,400万ドルが流出した可能性がある。

From: Coldcard Security Advisory

From: Predictable RNG Fallback and 32-Bit Reseed in COLDCARD Firmware

From: Galaxy Research: 3rd wave of suspected Coldcard-generated address hacks

【編集部解説】

本記事の数値は、特記なき限り2026年8月3日時点のものです。第4波は被害者からの直接報告ではなくオンチェーンのパターン照合による暫定的な帰属であり、Galaxy Researchによる正式な統合値は公表されていません。攻撃は継続中とみられ、推計値は更新され続けています。

競合取引は、被害者の手段にも攻撃者の手段にもなる

解説の前に、実務的に重要な性質から置きます。

8月3日に観測された第4波では、攻撃者側の確認済みトランザクションがRBF（Replace-By-Fee）のオプトインをシグナルしていました。未承認の段階でこれを見つけられた利用者は、同じUTXOを消費するより高い手数料の取引を送り、資金を安全なウォレットへ逃がせた可能性があります。

ただしこれは、ブロックに取り込まれる前という極めて狭い窓に限られ、置換の成功も保証されません。

そして同じ仕組みが、逆方向にも働きます。ウォレット設計企業のWizardsardineは、攻撃者が脆弱な鍵を復元できれば、利用者の移行取引と同じUTXOを消費し、資金を攻撃者側へ送る高手数料の競合トランザクションを作れると警告しています。同社は8月1日時点でこの攻撃はまだ稀だとしつつ、数日から数週間で一般化すると予測し、その段階では取引をブロードキャストせず、Slipstreamのような公開メモリプールを経由しない経路を使うほかないとしています。

なお、BIP-125は明示的なオプトインRBFの規則ですが、Bitcoin Core 28.0以降はfull-RBFがデフォルトで有効になっています。これはコンセンサスルールではなくノードの中継ポリシーであり、個々のノードやマイナーは設定を変更できます。それでも、元の取引がRBFをシグナルしていなくても、経路上のノードやマイナーの方針と置換条件次第で、競合取引が中継・採掘され得ます。

逃げる動作そのものが観測対象になる。これが今回の事案の、最も居心地の悪い部分です。

「盗まれた」のではなく「最初から開いていた」

この事案を報じるうえで、整理しておきたい構図があります。

多くのハッキング事件は「守りを破られた」話です。しかし今回の攻撃モデルは違います。被害者のColdcardへの物理アクセスも、PIN突破も、マルウェアも必要としません。影響を受けたファームウェアで生成された鍵が、そもそも当たりを引きやすい宝くじだった、という構造だからです。

ただし、Galaxyが特定した全アドレスについて、この経路で鍵が復元されたことが実証されたわけではありません。同社自身がこれを「観測された推定規模」と呼んでいます。

Galaxy Researchのアレックス・ソーンによれば、盗まれたコインの平均休眠期間は3.18年、中央値は3.55年。被害者の多くが長期保有者だったことを示しています。

7月29日に18.25 BTC、約160万カナダドルを7分間で失ったカナダの被害者は、Coldcard端末を一度もインターネットに接続せず貸金庫で保管していたと公表しています。「何より辛いのは、自分がすべて正しくやっていたことだ」と本人は書いています。

自己保管（セルフカストディ）の世界では、鍵の生成は一度きりの、取り返しのつかない行為です。ファームウェアを更新しても既存のシードは直らない、というCoinkiteの繰り返しの警告は、この非可逆性を指しています。

マクロ判定の見落としから始まった連鎖

技術的な起点は単純です。

C言語の #ifndef は「そのマクロが定義されているか」しか確認しません。Coldcardのボード設定は #define MICROPY_HW_ENABLE_RNG (0) と書いていました。値はゼロ、つまり「無効」の意思表示です。ところが定義自体は存在するため、libnguのチェックは素通りします。

ただし、障害が成立したのはこの一点だけが理由ではありません。libnguが参照していたのは rng_get() でしたが、Coldcard独自のハードウェアRNG実装が公開していたのは random32() と random_buffer() でした。マクロ設定、シンボル名の食い違い、MicroPython側のフォールバック実装、そして弱い再シード設計——複数の条件が重なって初めて成立した障害です。

結果、暗号鍵の源泉はSTM32チップのハードウェア乱数生成器ではなく、MicroPythonのYasmarangという決定論的なソフトウェア生成器に接続されました。この生成器はチップ固有のUID下位32ビットとタイマーレジスタから一度だけ初期化され、以降は新しいランダム性を取り込みません。

このバグの厄介さは、どこにも「失敗」が現れなかった点にあります。ビルドは成功する。出力は統計的にランダムに見える。隣り合う値の重複を弾くヘルスチェックも通過する。libnguはさらに別のYasmarangとXORを取っていますが、XORはエントロピーを生みません。両方が再現可能なら、結果も再現可能です。

Mk4以降は起動時にセキュアエレメントから計40バイトを読んで再シードします。ただしSE1の32バイトには予測困難性がある一方、SE2の8バイトはライブの乱数コマンドではなくROM options pageの認証済みデータです。そのうえでSHA256dダイジェストの先頭4バイトしか使われず、Yasmarangの状態ワードを1つ書き換えるだけ。蛇口の手前で32ビットに絞ってしまっていたわけです。

128ビットと72ビットの、感覚が狂う距離

Coinkiteはアドバイザリで、Mk4・Mk5・Qの実効エントロピーを約72ビットと明記しています。Mk2・Mk3については約40ビットという推定値を同社が示したことが報じられています。本来のBIP-39の12ワードは128ビットの初期エントロピーを符号化する設計です。

ビットは対数表記なので、直感が働きにくい数字です。128ビットと72ビットの差は56ビット、同じ条件で総当たりした場合の手間にすると約7.2京分の1になります。

本来の128ビットは約3.4×10³⁸通り。総当たりが原理的に不可能とされてきた規模です。それが40ビット、およそ1.1兆通りまで落ちると、桁の問題ではなく、探索を試みる意味があるかどうかの問題に変わります。

ただし、この40ビット・72ビットという数字を固定的な暗号強度として扱うことはできません。Block Engineeringの探索空間表は、攻撃者がタイマー状態をどこまで把握しているかによって 2^0 から 2^73.3 まで振れます。そしてBlock自身が、上限値の2^73.27を「73ビットの暗号学的安全性ではない」と明記しています。タイマーの各フィールドは相関しており、実際にはもっと狭い範囲しか取らない可能性があるためです。同社は総当たりの実証ベンチマークも主張していません。

前例はある。それも、そう遠くない過去に

弱い乱数が資産を溶かした事例は、これが初めてではありません。

2023年7月には、Libbitcoin Explorerの bx seed コマンドがMersenne Twisterをシステム時刻32ビットで初期化していた問題（CVE-2023-39910、通称「Milk Sad」）が悪用されました。初期の技術報告が直接帰属させた被害額は約90万ドルでしたが、研究チーム関係者の後続解説では、複数チェーンにまたがり数百人・数百万ドル規模とされています。Trust Walletでも弱い乱数による類似の脆弱性（CVE-2023-31290）が報告されています。

Milk Sadの発見者たちが当時残した推奨事項のひとつが、「ウォレット生成の経路には、徹底的に監査されたソフトウェアだけを使うこと」でした。Coldcardは長らく、自己保管コミュニティの中でその条件を満たすと目されてきた製品です。

つまり構造的な問題は「粗悪な製品が壊れた」ことではありません。評価の高い製品でさえ、公開された状態のまま5年間誰にも指摘されなかったという事実のほうです。

「オープンソースなら安全」という前提への問いかけ

編集部として、この事案の最も長い射程を持つ論点はここだと考えています。

Coinkiteの共同創業者でCEOのロドルフォ・ノヴァク（NVK）は、7月31日に公開書簡を出しました。冒頭は「Coldcardでシードを生成したなら、この先を読む前に、更新されたベストプラクティスに従って今すぐ資金を移してほしい」という趣旨で始まります。

そのうえでノヴァクは、開発者コミュニティに向けてこう記しました。AI支援のコードレビューは、業界で最も熟練した専門家をも上回る速度で潜在的なバグを見つけられるようになった。ファームウェアがオープンソースであるか、過去に公開されたことがあるなら、攻撃者と防御者の双方にすでに読まれていると想定すべきだ、と。

ソーンも、一連のスイープの手際からLLMを用いた組み立ての可能性に言及しています。ただしこれは観測に基づく推測であり、攻撃者がどのように脆弱性を発見したのか、AIを使ったのかどうかを裏づける証拠は公開されていません。ノヴァクの発言も、AIレビューの一般的な優越性が実証されたという意味ではなく、当事者としての現状認識の表明です。

それでも、問いとしては残ります。オープンソースは「多くの目に晒されるから安全」という前提で信頼されてきました。しかしその「多くの目」は、これまで人間の可処分時間という上限に縛られていました。監査コストが下がったとき、公開されたコードが持つ意味は、攻撃側と防御側のどちらにより大きく傾くのか。単一の事件から一般命題を引き出すことはできませんが、鍵生成に関わる実装の再点検が活発化する可能性は高いと見ています。

メーカーが競合製品を名指しで薦めるということ

8月2日、Coinkiteは「Update, Sunday.」と題した公式更新を出しました。

「この3日間は当社の歴史で最も厳しい日々だったが、これを読んでいる多くの人にとっては、もっと酷いものだったはずだ。何年もかけて貯めた金が消え、何年もかけて築いた信頼が壊れた」——会社としての声明は、そう始まります。

そのうえで同社は、すぐに端末が必要な利用者や代替を検討する利用者に向けて、Bitkey、Ledger、Trezor、Jade、BitBoxを信頼できる選択肢として挙げました。協調カストディについてはAnchorWatch、Casa、Unchained、Nunchuk、Lianaを列挙しています。

ハードウェアウォレットのメーカーが、自社製品の代わりに競合を名指しで薦める。そしてBitkeyは、今回の根本原因を解析したBlockの製品です。この業界が、少なくとも今回については、企業の競争より利用者の資産保全を優先して動いたことの記録として残ると思います。

実務的に重要な一文も含まれています。影響を受けた端末は廃棄しないこと。資金が回収された場合に不可欠になる可能性があるためです。同社の法務チームは複数の法域で法執行機関と連携するとしています。技術的なポストモーテムも、可能になり次第公開すると表明されました。

資金の一部が取引所へ向かった

この事案の余波として、オンチェーンに変化が現れています。

CryptoQuantとTimechainindexのデータでは、7月31日前後に小口保有者を中心とした取引所向けBitcoin入金が急増しました。Coldcard事案との関連が指摘されており、方向としてはFTX破綻後に広がった「取引所から自己保管へ」の移動と反対です。ただし規模も期間も参加者も異なり、原因まで正確に反転したことを示すものではありません。

Binance共同創業者のCZ（チャンポン・ジャオ）は、自己保管を信じているとしたうえで、それは利用者に負担を課すものであり、バグ修正は過去に生成されたウォレットを遡って安全にはできないと述べています。

セキュリティ企業Blockaidのイド・ベン=ナタンCEOは、2026年上半期の損失の大半がスマートコントラクトの不具合ではなく、鍵の危殆化と運用上の失敗に由来していると指摘します。「ハードウェアウォレットの安全性は、利用者が触れながら決して見ることのないファームウェアとシステムに帰着する」——安全策は、利用者が資産を手にする前の上流に組み込まれていなければならない、というのが同氏の主張です。

参考までに、TRM Labsによると2026年上半期の暗号資産ハッキングは207件で半期として過去最多である一方、被害総額は約9億7,200万ドルと、2025年上半期の23億ドルの半分以下にとどまっていました。1件あたりの中央値は約21万9,000ドルです。Coldcard事案は下半期の発生でこの統計には含まれませんが、件数が増え単価が下がっていた流れの中で、単独事件としては際立った規模です。

逃げる動作そのものが、罠になりうる

実務面で見落とされがちな論点も共有しておきます。

Bitcoin Coreコントリビューターのピーター・トッドは、マルチシグ利用者に固有の危険を指摘しました。M-of-Nのマルチシグは、署名に必要なM本以上の鍵が脆弱なら保護を失います。Coldcard 2台と別ベンダー1台による2-of-3構成なら、残り1本が安全でも、脆弱な2本で送金が成立してしまう。

そして資金を移動するトランザクションを公開ネットワークへ送信した時点で、それまでスクリプトハッシュに隠れていたwitness scriptと公開鍵が公開メモリプールに露出します。採掘されれば、その情報はブロックチェーン上に恒久的に記録されます。攻撃者はこの時点で脆弱な鍵の存在を知り、より高い手数料の競合取引をぶつけることが可能になります。

トッドはMARAのプライベート・メモリプール「Slipstream」を回避策として挙げています。MARAが採掘するまで公開メモリプールに流さないため、公開鍵の事前露出を抑える助けになります。ただし採掘や完全な非漏えいが保証されるわけではなく、すでに同じスクリプトで支出済みの場合には意味がありません。

Coinkiteのアドバイザリが「Migrate Carefully」の項で「落ち着いて。焦った移行は、対処しようとしている問題より差し迫った危険を生む」と警告しているのは、こうした事情と地続きです。なお、修正版適用後に端末が起動しなくなったとする未検証の利用者報告もありますが、ファームウェアとの因果関係や発生範囲は確認されていません。

シードだけでは終わらない

同じ ngu.random の出力は、ウォレットシード以外にも流れ込んでいます。

とりわけ深刻なのがペーパーウォレットです。通常のシード生成と違い、BIP39もBIP32も経由せず、RNGの出力がそのままsecp256k1の秘密鍵になります。しかも公開アドレスがブロックチェーン上にあるため、攻撃者は候補鍵からアドレスを導出して一致を待つだけでよい。検証オラクルが最初から公開されている構造です。

Seed XORの「random split」マスク、クローニングやUSB暗号化のECDH鍵、Key Teleportの一時鍵と5バイト二次パスワード、Web2FAのTOTP共有秘密、Secure Notesの生成パスワード。いずれも同じストリームの上限を継承します。

ただし深刻度は一様ではありません。公開された検証情報があるか、秘密の寿命がどれだけ長いか、通信記録が残っているかでリスクは変わります。Seed XORのデフォルトである決定論的分割モードは ngu.random を使っておらず無関係ですし、BIP85由来のパスワードも、基盤シードさえ安全なら影響を受けません。TAPSIGNER、OPENDIME、SATSCARDはコードベースが異なるため対象外です。

数字は確定していない

最後に、報じ方の姿勢について。

被害額は $38M → $70.2M → $75.1M → $88.6M → 約$114M と、数日で更新され続けてきました。Galaxy自身がこれを「観測された推定規模」と呼び、特定した全アドレスが脆弱なColdcardエントロピー由来であると計算上確認したわけではないと明言しています。報道によって約1億1,400万ドルと約1億1,600万ドルという2つの数字が出ていますが、これは同じ約1,816 BTCに異なる参照価格と集計時点が付いたためとみられます。

8月3日に観測された第4波は、初期スナップショットが218件のトランザクション・462被害アドレス・約388.93 BTC、更新推計では709アドレス・448.7 BTCまで拡大しました。1ブロックあたり13.8件は、事前の対照期間0.3件の約45倍の頻度です。3波累計の1,367.05 BTCと合算すると約1,816 BTCになります。

ただしソーンは、第4波について被害者からの直接報告を一切得ておらず、パターン照合のみで公表したと明言しています。取引が未承認のうちに警告を届けることを優先し、確証を後回しにしたためです。Galaxyによる正式な統合値もまだ公表されていません。

3波までの内訳の合算と公表合計の間にも、わずかなずれがあります。3波を足すと約1,366.54 BTC・4,586アドレスとなり、Galaxyが示す1,367.05 BTC・4,585アドレスとは一致しません。ただし、攻撃者管理下で未使用とされる1,366.3865 BTCは「終端アドレスで管理される額」であり、1,367.05 BTCの「被害元からの総流出推定」とは定義が異なります。矛盾とは限りません。

第1波と第2波は集約先やアドレス形式、派生パスが似ており同一オペレーターの可能性が示されていますが、第3波はP2WSHを使い、宛先の作り方も異なります。Galaxyは各波の内部は単一オペレーターらしいとしつつ、全波が同一の攻撃者によるものかはブロックチェーンからは判断できないとしています。

8月1日時点で、主要3波の終端資金は100%が未使用のまま滞留していました。Galaxyは攻撃者のものと疑われる約600アドレスを連邦捜査当局などに通報済みです。一方、第4波では一部の資金がすでに次段階のアドレスへ移動したとの観測があり、攻撃者アドレス宛には手数料10%で洗浄とKYC回避を持ちかけるOP_RETURNメッセージも届いたと報告されています。ただし送り手やサービスの実在性、攻撃者が応じたかどうかは確認されていません。資金を動かした瞬間が、この事案の次の局面になります。

【用語解説】

シード／ニーモニック（リカバリーフレーズ）
BIP-39では、人間が書き取る12語などの単語列を「ニーモニック」、そこからPBKDF2で生成する512ビットの値を「シード」と呼び分ける。日常的にはまとめて「シード」と呼ばれることが多い。いずれにせよ、生成時の品質は後から取り返せない。

BIP-39
ニーモニックの規格。12語は128ビットの初期エントロピーに4ビットのチェックサムを加えたもの。15語、18語、21語、24語も規定されている。

BIP-39パスフレーズ
ニーモニックとは別に利用者が設定する追加の合言葉。どんな文字列でも有効な別のウォレットを派生させるため、十分に強く固有であれば追加の障壁になる。弱い・使い回しのパスフレーズは推測されうる。ColdcardのPINとは別物である。

エントロピー（ビット）
鍵の推測しにくさを表す指標。対数表記のため、128ビットと72ビットの差は「1.8倍」ではなく2の56乗倍、およそ7.2京倍の開きになる。

RNG／TRNG／PRNG
乱数生成器の総称。TRNGは物理現象から真の乱数を得るハードウェア方式、PRNGは初期値から計算で数列を作るソフトウェア方式。非暗号用途のPRNGを、十分な秘密のエントロピーなしに鍵生成へ使うと、初期値が絞り込まれた時点で出力を再現されてしまう。適切に再シードされる暗号用DRBGはこの限りではない。

Yasmarang
MicroPythonが搭載する軽量なソフトウェア乱数生成器。統計的にはランダムに見える出力を出すが、暗号エントロピー源としては設計されていない。

libngu
Coldcardのファームウェアが暗号処理に用いているライブラリ。Coldcard本体とは別のリポジトリで管理されている。今回、乱数源を選択するマクロ判定の誤りがここに存在した。

MicroPython
マイコン上で動作するよう再実装されたPython。Coldcardのファームウェアはこの上で書かれている。

STM32
STMicroelectronicsが製造するマイコン（組み込み用の小型プロセッサ）の製品群。ハードウェア乱数生成器を内蔵しており、本来Coldcardはこれを使う設計だった。

マクロと #ifndef
C言語のコンパイル時処理。#ifndef は「そのマクロが定義されていないか」だけを判定し、値がゼロかどうかは見ない。今回の障害の起点となった見落とし。

セキュアエレメント（SE）
秘密情報を耐タンパ性のあるチップ内に隔離する専用半導体。Mk4以降はSE1から32バイト、SE2から8バイトを読むが、SE2の8バイトはライブの乱数ではなくROM options pageの認証済みデータである。

再シード（reseed）
乱数生成器の内部状態に新しい種を注入し直す処理。今回の実装では状態ワードを1つ書き換えるだけで、他の状態語もMicroPython側の状態も初期化しない。

SHA256d
SHA-256を2回適用するハッシュ関数。出力を統計的に均す効果はあるが、入力の候補数そのものを増やすことはできない。

secp256k1
Bitcoinが採用する楕円曲線。秘密鍵から公開鍵・アドレスを導出する演算に使われる。

UTXO
未使用のトランザクション出力。Bitcoinの残高はこの単位で管理され、送金とは特定のUTXOを消費して新しいUTXOを作る操作を指す。

ペーパーウォレット
デバイスのメインウォレットとは独立した単体の秘密鍵とアドレス。ColdcardではRNG出力がそのまま秘密鍵になるため、BIP-39やBIP-32を経由しない。

検証オラクル
攻撃者が「候補の鍵が正解かどうか」を照合できる公開情報のこと。ブロックチェーン上のアドレスやxpubがこれに当たる。

xpub（拡張公開鍵）
1つのシードから派生する多数のアドレスをまとめて導出できる公開鍵。秘密鍵は含まないが、候補シードの照合には利用できる。

witness script
P2WSHなどの構成で、送金条件を記述したスクリプト本体。普段はそのハッシュだけがアドレスとして公開され、実際に支出するときに初めて中身がネットワークへ現れる。

Seed XOR
シードを複数の断片に分割して保管する方式。断片同士を排他的論理和で合成すると元に戻る。今回影響を受けるのは「ランダム分割」を選んだ場合に限られる。

Key Teleport
Coldcardの機能で、暗号化した秘密情報をデバイス間で受け渡す仕組み。

Web2FA
Coldcardが提供する二要素認証機能。

マルチシグ（M-of-N）
N本の鍵のうちM本の署名が揃えば送金できる構成。署名に必要なM本以上の鍵が脆弱であれば保護は失われる。2-of-3なら脆弱な鍵が2本あれば、残る1本が安全でも攻撃者は送金を成立させうる。守るには安全なデバイスによる定足数が必要になる。

シングルシグ（単一署名）
鍵1本だけで送金できる標準的な構成。確認された主要な波では、この形式のアドレスが中心に観測されている。

セルフカストディ（自己保管）
取引所などに預けず、自ら鍵を管理して資産を保有する形態。

協調カストディ
利用者と事業者が鍵を分担し、単独では動かせないマルチシグ構成で資産を守る方式。Coinkiteが代替として挙げたAnchorWatchやCasaなどが該当する。

スイープ
アドレスの残高を全額まとめて別のアドレスへ移す操作。今回の攻撃はこの形で実行された。

RBF（Replace-By-Fee）とfull-RBF
未承認のトランザクションを、同じUTXOを消費するより高い手数料の取引で置き換える仕組み。BIP-125は明示的なオプトインRBFの規則で、置き換えられるのは元の取引がその意思をシグナルしている場合に限られる。ただしBitcoin Core 28.0以降はfull-RBFがデフォルトで有効になっており、シグナルのない取引も置換対象になり得る。これはコンセンサスルールではなくノードごとの中継ポリシーであるため、設定次第で挙動は変わる。いずれにせよブロックに取り込まれた後は置換できず、成功も保証されない。

メモリプールとプライベート・メモリプール
未承認の取引が一時的に置かれる領域。各ノードに分散しており単一の共通領域ではないが、通常は広く閲覧できるため取引内容が採掘前に露出する。これを公開せずマイナーへ直接届ける仕組みがプライベート・メモリプールである。完全な秘匿を保証するものではない。

OP_RETURN
Bitcoinのトランザクションに任意のデータを埋め込める仕組み。今回、攻撃者のアドレス宛に洗浄サービスを持ちかけるメッセージが送られたと報告されている経路である。

Milk Sad（CVE-2023-39910）
2023年に公表された、Libbitcoin Explorerの乱数生成の脆弱性。内部エントロピーが32ビットに制限されており、実際に窃取に悪用された。

CVE
公開された脆弱性に付与される国際的な識別番号。CVE Programが識別子を管理し、NVDなどが追加分析を提供する。

UID／SysTick／RTC
それぞれチップ固有の識別子、周期カウンタ、時刻・サブ秒レジスタ。いずれも本来の乱数源ではないが、今回の脆弱な経路ではこれらが種として使われていた。

【参考リンク】

COLDCARD Wallet（外部）
Coinkiteが製造するBitcoin専用ハードウェアウォレットの製品サイト。各モデルのファームウェア配布ページもここから辿れる。

Coinkite（外部）
2012年設立のカナダのBitcoinハードウェア企業。トップページにアドバイザリへの導線が掲出されている。

Coinkite「Update, Sunday.」（外部）
8月2日付の公式更新。在庫破棄と出荷停止、端末を廃棄しないよう求める要請、代替製品の推奨、技術的ポストモーテムの予告を記す。

Coldcard/firmware（GitHub）（外部）
Coldcardファームウェアのソースコード。Block Engineeringが参照した修正前の固定コミットから、問題の該当箇所を辿れる。

Block（外部）
Square、Cash App、Spiral、Bitkeyなどを傘下に持つ企業。今回の根本原因解析は同社のBitcoin部門による。

Galaxy Research（外部）
被害規模を発表しているデジタル資産分野の調査部門。各波の内訳やアドレス数は推計であり、更新が続いている。

Chainalysis（外部）
ブロックチェーン分析企業。初期25分で約500ウォレットが空になったこと、攻撃者が大口を優先した点を分析した。

Wizardsardine — Critical Coldcard flaw（外部）
ウォレット設計企業による技術解説。攻撃者が同じUTXOを競合取引で消費し、利用者の移行を奪いうるリスクを警告する。

MARA Slipstream（外部）
MARAが運営する非公開トランザクション提出サービス。MARAが採掘するまで公開メモリプールへ流さない運用を前提とする。

BIP-125（Replace-By-Fee）（外部）
オプトインRBFの規格文書。Bitcoin Core 28.0以降はfull-RBFがデフォルト有効のため、実際の置換条件はこの範囲にとどまらない。

Bitcoin Core 28.0 リリースノート（外部）
mempoolfullrbfのデフォルト値が有効に変更されたリリース。中継ポリシーの既定値であり、コンセンサスルールの変更ではない。

Milk Sad（外部）
2023年のLibbitcoin Explorer弱エントロピー問題を報告した研究チームのサイト。今回と同型の先行事例として参照できる。

MicroPython（外部）
マイコン向けのPython実装。今回フォールバック先となったYasmarang乱数生成器はこの実装に含まれるものである。

【参考動画】

COLDCARD 公式YouTubeチャンネル（外部）
Coinkiteが公式ブログで案内するチャンネル。デバイス操作の解説動画があり、移行手順を画面で確認したい読者向け。

【参考記事】

Coldcard wallet losses may near $114 million as possible fourth sweep emerges（外部）
4波累計約1,816 BTC・5,200超アドレスの暫定推計。ソーンが被害者報告なしにパターン照合のみで公表した経緯も記す。

Critical Coldcard flaw: what happened, who is affected, and what to do（外部）
攻撃者が同じUTXOを消費する競合取引で移行を奪いうると警告。一般化した場合はブロードキャストせず非公開経路を使うべきとする。

Unlike the FTX collapse, the Coldcard exploit has investors sending bitcoin back to exchanges（外部）
CryptoQuantとTimechainindexのデータで、7月31日前後に小口中心の取引所入金が急増した状況を示す。

Coldcard Hardware Wallet Flaw Linked to $70 Million Bitcoin Theft in 41 Minutes（外部）
Mk3で約40ビット、Mk4以降で約72ビットという実効エントロピー推定と、41分で1,196アドレスが空にされた第1波の規模を報じた。

Coinkite Releases Fixed Firmware After Coldcard Bug; AI Likely Involved In The Breach（外部）
NVKのAI監査に関する発言と、ピーター・トッドが示したマルチシグの落とし穴、MARA Slipstreamによる回避策を詳報。

Coldcard exploit reignites Bitcoin self-custody debate after $38 million theft（外部）
NVKの公開書簡と、Blockaidのベン=ナタンCEOによる「損失の多くは鍵の危殆化と運用失敗に由来する」という指摘を伝える。

H1 2026 Crypto Hacks Reach Record High as Losses Fall Below USD 1 Billion（外部）
2026年上半期は207件で半期として過去最多、被害総額は約9億7,200万ドルと2025年同期の半分以下だったとする統計。

【編集部後記】

Coinkiteは公式更新で、代替の選択肢としてLedger、Trezor、BitBox、そしてBitkeyの名前を挙げました。Bitkeyは、今回の根本原因を突き止めたBlockの製品です。競合に客を送る文章を、自社の謝罪文の中に置いている。

この業界には、そういう作法がまだ残っているのだと知りました。一方で、5年間その脆弱性を誰も見つけられなかったのも、同じ業界です。互いに製品を薦め合える距離にありながら、公開されたコードの数行を読み合う仕組みは、なぜ働かなかったのでしょうか。

——————–
※本記事は情報提供を目的としており、投資助言ではありません。
　詳細は当サイトの免責事項をご確認ください。
——————–