3,800万ドル相当のビットコインが失われたとの報告を受け、CoinkiteがColdcard Mk3の所有者に警告しています。

ハードウェアウォレットに関するインシデントが単発で発生することは稀です。長期間休眠状態にあったアドレスが綿密に調整されたパターンで動き始めた場合、そのタイミングだけでも精査に値します。 2026年7月30日、約500のシングルシグネチャアドレスから推定594 BTC（約3,800万ドル相当）が約25分間で移動したのも、まさにそのような事例でした。

これらのウォレットの多くは長年にわたり非アクティブ状態で、残高は通常0.15～0.26 BTCの範囲でした。本稿執筆時点では、オンライン上で広く議論されているにもかかわらず、同社は600 BTC近くの送金がColdcardのセキュリティ勧告と直接関連しているかどうかをまだ確認していません。

Coinkite社の見解

業界でNVKとして知られるCoinkiteのCEO、ロドルフォ・ノヴァク氏は、同社がこの報告を緊急課題として扱っていると述べました。「全社を挙げてあらゆる点を徹底的に調査している。技術的な投稿はまもなく公開する」とノヴァク氏はXで述べました。また、同氏は、この報告を受けて同社のコミュニケーションチャネルが問い合わせで「殺到」していると付け加えました。 別の更新情報で、ノヴァク氏は「COLDCARDに関する報告について多くの調査を行っており、ブログ記事を近日中に公開する予定だ」と強調した。

同社のセキュリティアドバイザリーブログ記事では、影響を受けるデバイスの具体的な範囲が明記されています。2021年3月にリリースされたファームウェアバージョン4.0.1から、Mk3をサポートする最終リリースであるバージョン5.0.3までを実行しているMk3でシードを生成したユーザーは、影響を受ける可能性があります。 Coinkiteは、初期の分析ではMk4、Q、Mk5モデルは影響を受けていないと説明した。また、このアドバイザリは初期調査の結果を反映したものであり、調査の進展に伴い正式な技術レビューを行う予定だと述べた。 コミュニティの研究者たちは、この報告に関連するオンチェーンの活動を検証しています。議論の焦点は、サプライチェーンの侵害というよりも、特定の古いMk2およびMk3のファームウェアバージョンにおけるシード生成のランダム性の低さにあるようです。本記事の公開時点で、Coinkiteは根本原因を特定していません。

パスフレーズ利用者のリスクは低い

この勧告によると、BIP-39パスフレーズ（デバイスのPINとは別のユーザーが追加したフレーズ）で保護されているウォレットについては、Coinkiteの初期分析ではリスクは最小限にとどまっているようです。同社はパスフレーズを使用しているユーザーに対し、引き続きそのフレーズを保護し、信頼できないデバイスやウェブサイトへの入力は避けるよう勧告しました。

パスフレーズを使用していなかったMk3所有者に対しては、影響を受けていないデバイス上で生成された新しいシードへの移行を推奨しました。 同社は、このプロセスを急ぐべきではないと述べました。まず少額のテスト取引を行い、デバイスの画面上で新しいウォレットと受信アドレスを確認し、移行が完了するまで古いバックアップを保管しておくよう助言しました。

暫定的な対応策

Coinkiteは、Mk3が唯一のデバイスである所有者向けに、2つの暫定的な手順を提示しました：

• 強力で一意のBIP-39パスフレーズを追加し、資金を新たに保護されたウォレットに移す。
• Mk3の「ダイスロール」インポートパスを使用して代替シードを生成する。この方法はデバイスの乱数生成器に依存しないが、Coinkiteはこれを慎重な検証を要する高度な手順であると説明している。

Coinkiteは、同社のブログに掲載したアドバイザリーで詳細な技術手順を公開しました。同社は現在も調査を続けており、追加の詳細については追って発表すると説明しています。 Coldcardは発売以来、セキュリティ重視のエアギャップ型ハードウェアウォレットとして定評があり、今回の報告を受けて所有者が自身のデバイスを点検する中、ビットコインコミュニティ全体で大きな注目を集めています。