今年のビットコイン最大の盗難事件を整理：5年前の脆弱性が攻撃され、有名なハードウェアウォレットもAIに狙われている

BlockBeats ニュース、8月3日、最新データによると、ハードウェアウォレット Coldcard のハッキング事件で既に1359枚のビットコインが盗まれており、ユーザーからはアップデートインストール後にデバイスがエラーページで停止する、起動できない、またはデバイスが文鎮化した疑いがあるとの報告も寄せられている。この事件は今年最大のビットコイン盗難事件となっている。BlockBeats が事件の経緯を以下のように整理した：

分析によると、今回攻撃を受けた Coldcard のファームウェアコードは2021年3月にリリースされたもので、脆弱性はオープンソースコード内に5年以上存在していた。Mk3（および一部の Mk2）、さらに後続の Mk4、Q、Mk5 の修正前のシード生成に影響を及ぼす。

2026年7月30日までに、この脆弱性を狙った大規模な攻撃が実行された。攻撃者は約25〜41分の間に数百から数千のアドレスに対して自動化された掃討作戦を展開。初期段階では約500のシングルシグネチャウォレット、1324のUTXO、約594.5 BTC が攻撃を受け、その後のオンチェーン分析により約1196のアドレス、1082.65 BTC（約7020万ドル相当）に拡大した。さらに、今回の攻撃は残高の大きいアドレスを優先的に標的とし、固定の高額手数料を使用し、お釣り出力なしで、資金は迅速に少数のアドレスへ集約された。

その後、Coldcard の開発会社 Coinkite はセキュリティ公告を発表し、Mk3（ファームウェア 4.0.1 以降）のシード生成問題を暫定的に確認。影響を受けたユーザーには慎重な移行を推奨し、攻撃者が AI を利用してオープンソースコードを審査し脆弱性を発見した可能性があると推測した。

8月2日時点で、Galaxy のリサーチ責任者 Alex Thorn 氏は、Coldcard ウォレットを巡る攻撃事件は依然として進行中であり、現在ではより多くの小規模な攻撃者や模倣者が出現し、残りの Coldcard のニーモニックに対して攻撃を展開していると述べた。

この事件は多方面から注目を集めている。Bloomberg のシニア ETF アナリスト Eric Balchunas 氏は、Coldcard のチームはわずか5名の従業員しかいないと暴露した。これほど重要な企業にとって、この数字はあまりにも低すぎる。

CZ はこれについて、「自己管理モードでは、開発者が脆弱性を修正しても、以前に生成されたウォレットを修正することはできない。隔離デバイスを使用しているユーザーに対しては、開発者が直接連絡して注意喚起することもできない。ユーザーが自発的に対策を講じるまで、関連ウォレットは攻撃リスクにさらされ続ける可能性がある。私は自己管理を支持するが、それは同時にセキュリティ責任がユーザー自身にあることを意味する」とコメントした。

さらに、この事件はAIによる暗号デバイスへの攻撃が関与している可能性がある。機関級カストディプラットフォームであるBitGoが率先して行動を起こし、業界の評判を挽回しようとしている。BitGoのCEOであるMike Belshe氏は8月1日、公開ビットコインアドレスに100 BTCを預け入れ、AnthropicのClaudeモデルにそのアドレスから資金を送金するよう挑戦を呼びかけた。このプラットフォームはマルチシグネチャまたはマルチパーティ計算技術を採用し、署名権限を複数の独立した鍵に分散している。Anthropicは8月2日時点でこの挑戦に公に応じていない。

この影響を受けた可能性があり、ビットコインは31日以降、軟調な動きが続き、6.5万ドルから6.3万ドルまで下落している。