Coldcardファームウェア脆弱性疑惑で約1,082.65 BTCが41分で流出——ハードウェアウォレットの前提が揺らぐ可能性です

今日の深掘りポイント

• 事実の核は「短時間・多数アドレス・高手数料」で、攻撃が高度に自動化・先回り最適化されていた兆候が強いことです。ここからは、鍵の秘匿性崩壊か、取引組み立ての改ざんか、脆弱性クラスの切り分けが初動の要です。
• もしECDSAの署名乱数（nonce）に偏りや再利用があったなら、観測可能な署名情報だけで秘密鍵が導出され得ます。TaprootのSchnorr署名が多いなら別の仮説が要ります。アドレス種別と署名特性の観測が調査の近道です。
• 単一ベンダ依存の“デバイス前提安全”は、こうした事案で脆弱になります。異種マルチシグやPSBTの二重検証、ファームウェアSBOMと暗号実装監査の定常化を、暗号資産を保有する組織の標準に引き上げたいところです。
• 緊急対応は「資産の退避」「影響バージョンの特定」「署名乱数の健全性点検」の三段で進めるべきです。高額手数料のレースに勝つための送金経路と手数料ポリシーを即時に準備しておくことも肝要です。
• 本件は新規性と即時性が高い一方、確度評価に未確定要素が残ります。一次情報の詰めとフォレンジック観測を同時並行で進め、組織に引き出せる具体的アクションへ落とし込むのが現実的です。

はじめに

Coldcardのファームウェアに起因するとされる脆弱性疑惑により、2026年7月30日、1,196のアドレスから合計1,082.65 BTC（約7,000万ドル相当）が41分で掃き出されたという報道が出ています。被害アドレスは空にされ、トランザクション手数料は異常に高く設定されていたとされ、攻撃の自動化・事前計画性を示唆します。Coldcardユーザーには、公式アドバイザリーの確認とファームウェア版の点検が推奨されています。

本稿では、現時点の公開情報を基に、起こり得る技術的シナリオの切り分け、SOC/インシデント対応の観点での優先行動、そしてミティゲーションの再設計指針を提示します。未確定要素がある箇所は仮説と明記し、安易な断定は避けます。一次情報は今後のベンダー公式発表とチェーンデータにより上書きされる可能性がある点にご留意ください。

参考報道（一次情報ではありません）:

• GBHackers: Coldcard firmware flaw lets hackers steal $70M in Bitcoin

深掘り詳細

事実整理（現時点の報道ベース）

• 日時と規模:
  • 2026年7月30日に、1,196アドレスから合計1,082.65 BTCが流出したとされています。
  • 全アドレスが空になり、移転は約41分間に集中したと報じられています。
• 振る舞い的特徴:
  • 取引手数料が平均より顕著に高く、競合する資産退避やRBFを出し抜く意図が読み取れます。
  • 自動化されたスイープ行動が疑われ、攻撃者側はアドレス群のUTXOを一括で探索・作成・ブロードキャストしている可能性が高いです。
• 影響範囲:
  • Coldcardユーザーを標的とする報道ですが、どのファームウェア系統・版が関わったのか、影響の直接因がデバイス側なのか、トランザクション組成側（ホスト/PSBT/ワークフロー）なのかは、公開一次情報では未確定です。

上記の事実は報道由来であり、編集部でベンダー公式アドバイザリーやフォレンジック一次データを直接確認できていない点が残ります。以降は仮説を明示しながら技術的に切り分けます。

インサイトと仮説（技術シナリオの切り分け）

仮説A: 署名乱数（ECDSA k）の偏り・再利用

• 概要:
  • ECDSAは同一秘密鍵で同一乱数kを二度使うと秘密鍵が復元されます。乱数の偏りでも統計的攻撃が成立します。RFC 6979の決定論的kや高品位TRNGで回避しますが、実装バグやエントロピー不足があると破綻します。
• 本件適合性:
  • 多数アドレスの短時間スイープは、攻撃者が事前に「脆弱署名を監視・蓄積」し、鍵が復元でき次第に一斉に掃き出した像と整合します。
• 検証ポイント:
  • 対象アドレスが主にECDSA系（P2PKH “1…”, P2SH “3…”, P2WPKH “bc1q…”）か、Schnorr（P2TR “bc1p…”）かを分類します。後者中心なら、この仮説は後退します。
  • 複数トランザクションのDER署名中のr値が重複していないか、k再利用検査を行います。重複が散見されれば強い傍証になります。

仮説B: 乱数ではなく「種（シード）生成のエントロピー劣化」

• 概要:
  • ウォレットの初期シード生成が低エントロピーだった場合、攻撃者は探索範囲を絞って総当たりし、該当シードのxprvを得て一斉スイープ可能です。過去には他チェーンで近縁事案がありました。
• 本件適合性:
  • 特定ファームウェア世代のユーザーだけが被害に遭っているなら尤度が上がります。41分の一斉掃き出しは「事前蓄積→合図と同時にスイープ」の運用像と親和します。
• 検証ポイント:
  • 影響アドレスの初出タイムスタンプと、デバイス初期化時期やファームウェア版の相関をとります。クラスター化できるなら、種生成起点の問題を疑います。

仮説C: PSBT/トランザクション組成フローの改ざん（サプライチェーン/ソフト側）

• 概要:
  • ホスト側ソフトやワークフローで出力先が改ざんされ、ユーザーが気づかぬまま攻撃者アドレスに署名してしまうシナリオです。
• 本件適合性:
  • ユーザー操作を要するため、短時間・多数被害とやや整合しにくいですが、広く使われるツールチェーンにサプライチェーン改ざんがあった場合は説明可能です。
• 検証ポイント:
  • 被害トランザクションの出力スクリプト類似性、nLockTime/sequence/手数料率の一様性から同一ツール生成痕跡を探します。

いずれも現時点では仮説ですが、アドレス種別、署名特性（r重複）、出力スクリプトのゆらぎ方という3観測軸で大きく絞り込めます。特に「Taproot比率」が鍵になります。Taproot主体であれば、Schnorr側のnonce実装やKeyAgg/ScriptPathの別問題へ視座を移す必要があります。

脅威シナリオと影響

以下はMITRE ATT&CKの観点での仮説マッピングです。実装・侵入実態が未確定であるため、想定シナリオとして提示します。

• シナリオ1（仮説A/B）：暗号実装/エントロピー劣化の悪用による秘密鍵導出

  • Resource Development: T1587.001（独自ツール/暗号解析能力の獲得）
  • Reconnaissance: T1596（公開データ収集：mempool/チェーンから署名収集）
  • Credential Access: T1212（脆弱性悪用による認証情報取得に相当：暗号実装欠陥から鍵導出）
  • Collection: T1119（自動収集：対象署名・UTXOの自動収集）
  • Command and Control: T1090（中継インフラでブロードキャスト最適化：複数ノード経由で送信）
  • Impact: TA0040（資産の不正移転という最終影響）
  • 特徴: ユーザー操作非依存で、攻撃はオンチェーン観測と計算資源で完結します。

• シナリオ2（仮説C）：サプライチェーン/PSBT改ざんによる送金先すり替え

  • Initial Access: T1195（ソフトウェアサプライチェーンの侵害）
  • Execution: T1204（ユーザー実行：正規UIでの署名誘導）
  • Defense Evasion: T1036（偽装：正規出力風の表示）
  • Exfiltration/Impact: TA0040（高手数料の一括スイープで競合排除）
  • 特徴: ユーザーが署名に関与するため、UI/PSBTのヒューマンファクター検証が鍵になります。

組織への影響は、保有規模に比例して重大化します。取引所・カストディ事業者・トレジャリー保有企業は、単一ベンダの署名デバイス前提に立脚したリスク評価を即時に見直す必要があります。インシュアテック/保険の査定、監督当局へのインシデント報告義務、監査対応の観点でも影響が波及します。

セキュリティ担当者のアクション

緊急対応（0–24時間）

• 公式情報の確認:
  • Coldcard/ベンダー公式アドバイザリーと、影響バージョン/緩和策の有無を確認します。影響版の特定がつかない場合は、疑わしい世代のデバイスから段階的に退避を開始します。
• 退避計画（レースに勝つ手数料設計）:
  • 新しいシードを“異種ベンダ×オフライン”で再生成し、マルチシグ（2-of-3等）環境へ退避します。退避TXはmempool混雑を見越して高優先度手数料を事前設定します。
• チェーン観測:
  • 自組織保有アドレスのUTXOに対し、未知クラスタへの一括スイープや異常高手数料の送金がないか監視します。類似のスイーパーアドレスを短時間でブロックチェーン分析によりタグ付けします。

短期対応（24–72時間）

• 署名乱数の健全性チェック（概念手順）:
  • 自組織の過去トランザクションから、同一鍵が関与した複数署名のDERエンコードを抽出し、r値の重複有無を点検します。重複が見つかれば、該当鍵は即時ローテーションします。
  • Taproot主体なら、Schnorr側のnonce生成（BIP340）に関わる実装・デバイス版の切り分けを進めます。
• アドレス種別/世代相関の分析:
  • 影響が特定のアドレス種別（P2WPKH/P2TR）や初期化時期に偏っていないかを見て、仮説A/B/Cの優先度を更新します。
• サプライチェーン健全性点検:
  • 署名ソフト/PSBT生成ツールの真正性（署名検証、配布経路、ハッシュ）と、デバイスのファームウェアハッシュ/ビルド番号の棚卸を行います。

中期対応（1–4週間）

• アーキテクチャの耐性強化:
  • 異種デバイス×マルチベンダの閾値署名（マルチシグ/マルチパーティ計算）を標準化し、単一点故障モードを排除します。
  • PSBTの二重検証（送信前に別実装/別OSで出力先・金額・手数料・nLockTimeを差分検証）を手順化します。
  • ファームウェアSBOMと暗号実装監査（乱数源の健康診断、RFC 6979/DRBGの適正実装、起動時自己診断ログ）の定常レビューを導入します。
• 運用と人の強化:
  • 高額送金の「二者原則＋異系統UIによる出力先再認証」を導入します。UI偽装やPSBT改ざんの温床を潰します。
  • 非常時プロトコル（ブロードキャスト競合時の手数料上げ、RBF/CPFP戦略、退避の優先順）の机上演習と自動化スクリプト整備を行います。

検知・監視の観点

• アノマリ検知:
  • 過去自己履歴と比べて標準偏差を大きく外れる手数料率、nLockTime/sequenceの不自然な固定、同一出力スクリプトの反復などをシグナル化します。
• クラスタリング:
  • 短時間に多出するスイープ先クラスタを継続追跡し、ブロックリストやアラート閾値に反映します。

経営・リスクの観点

• ベンダー問責と保証:
  • ベンダーに対し、影響評価、根本原因（RCA）、是正措置（CAPA）、第三者監査結果の開示を要請します。暗号モジュールの検証（FIPS/NIST準拠の有無）は記者会見や当局説明でも問われます。
• カストディ戦略:
  • 自社保有に加え、規制準拠の第三者カストディ活用や保険の見直しを入れて、技術・運用・財務の三層で耐性を上げます。

参考情報

• 報道: GBHackers: Coldcard firmware flaw lets hackers steal $70M in Bitcoin

注: 本件は一次情報の精査とチェーンフォレンジックの進展により見立てが更新される可能性があります。編集部でも公式アドバイザリーや技術詳細が確認でき次第、続報でアップデートします。今回のメトリクス群からは緊急性と新規性が高い一方、確度に不確実性が残る読みが立ちます。だからこそ、いま取り得る具体策（退避・検査・多様化）に即座に移し、ベンダー依存を薄める構えを先に作ることが、結果として最小損失につながると考えます。