2026年08月03日 13時50分セキュリティ

ハードウェアウォレット「COLDCARD」の脆弱性悪用による3波の攻撃で合計140億円相当のビットコインが盗まれる

ビットコイン向けハードウェアウォレット「COLDCARD」のファームウェアに存在する脆弱性を突く形で、2026年7月30日以降に3波にわたる攻撃が行われ、合計で推定8860万ドル(約140億円)相当のビットコインが盗み出されたとみられることがわかりました。

We mapped the flow of funds for the Coldcard vulnerability based on the pattern identified by engineers at Block and shared by @clay_garrett

1,196 addresses drained in full for 1,082.65 BTC (~$70.2M) between 01:10:20 and 01:51:26 UTC on Jul 30 — a 41-minute window, blocks… pic.twitter.com/q785paZvMQ
— Galaxy Research (@glxyresearch) July 31, 2026

COLDCARD wallet RNG flaw likely linked to $88 million Bitcoin theft
https://www.bleepingcomputer.com/news/security/coldcard-wallet-rng-flaw-likely-linked-to-88-million-bitcoin-theft/

デジタル資産調査会社のGalaxy Researchによると、COLDCARDのハードウェアウォレットにある脆弱性を悪用し、欠陥のある乱数生成機でシードが生成された数千個のウォレットからビットコインが盗まれたとのこと。

攻撃は、カナダでCOLDCARDの製造を手がけるCoinkiteが脆弱性の存在を公表する30時間前に行われました。

すべての取引について「仮想バイトあたり30サトシ(約2.95円)」というハードコードされた手数料率が使用されていて、お釣りの出力はなかったことから、Galaxy Researchは自動化ツールによって攻撃が行われたと考えています。

Coinkiteによると、脆弱性は2021年3月にリリースされたファームウェアv4.0.0からv5.0.3までに存在するとみられます。

被害に遭ったアドレスの数は1196で、総額は1082.65BTC(約140億円)に上るとのこと。

なお、CoinkiteはCOLDCARD以外のハードウェア製造も手がけていますが、COLDCARD以外の製品は異なるコードベースを利用しているので影響を受けることはないそうです。

脆弱性確認後にCOLDCARDは出荷を即刻停止し、在庫は全破棄したとCoinkiteは報告しています。

🚨 UPDATE: We halted COLDCARD shipments as soon as we confirmed the vulnerability. All remaining units at our facilities with affected firmware installed were destroyed.

Some orders had already shipped. We contacted those customers directly by email with the advisory and…
— COLDCARD (@COLDCARDwallet) August 2, 2026