オフラインのはずが…Coldcardユーザーを狙った大規模窃盗事件#
「オフラインだから安全」という常識を覆す衝撃的な事件が発生した。Coinkite社製のハードウェア暗号資産ウォレット「Coldcard」に存在した脆弱性を悪用し、ハッカーたちが少なくとも1億3000万ドル（約190億円）以上の暗号資産を盗み出したと、ブロックチェーンセキュリティ各社が報告している。
事件の詳細：何が起きたのか#
Coldcardとは？#
Coldcardは、インターネットに接続しない「コールドウォレット」と呼ばれるタイプのハードウェアウォレットだ。暗号資産を管理するための秘密鍵やシードフレーズ（パスワードに相当する復元用の文字列）を、ネットワークから完全に隔離されたデバイス上に保管できる。アプリやブラウザ拡張機能、あるいはBinanceやCoinbaseのような取引所アカウント上で管理する「ホットウォレット」と比較して、より安全な保管手段とされてきた。
脆弱性の正体#
Blockのセキュリティ研究者らによると、問題の核心はColdcardがシードフレーズを生成する際のロジックに欠陥があった点にある。生成されるべきシードフレーズが予測可能な状態になっていたため、ハッカーはブルートフォース攻撃（総当たり攻撃）によって被害者のシードフレーズを生成・特定することが可能だった。
この脆弱性は2021年のコードに由来するとされており、デバイス内の物理的な「金庫」を破る必要がなく、「鍵の複製方法を解明した」状態に例えられる。つまり、ユーザーがいかに正しく使っていても、脆弱なコードによって生成された鍵そのものが危険にさらされていたということだ。
被害者の声#
自身のColdcardウォレットから160万ドル（約2億3000万円）を盗まれたと主張するJonathan Goodman氏は、X（旧Twitter）上でこう訴えた。「シードフレーズを誰とも共有しなかった。デバイスをインターネットに接続したことも一度もない。複数の金庫や貸金庫で厳重に管理していた。それでも何も意味がなかった。ハードウェアが当初シードフレーズを生成した際の、2021年のコードに1行の脆弱性があったというだけで」
この言葉は、ユーザーの「正しい行動」が完全に無力化されるという、ハードウェアレベルの脆弱性の深刻さを物語っている。
注目ポイント：なぜこの事件は重要なのか#
1. 「オフライン＝安全」という前提の崩壊#
コールドウォレットはこれまで、ハッカーによるリモート攻撃を防ぐ最終手段として広く信頼されてきた。しかし今回の事件は、デバイス自体のコードに潜む脆弱性によって、その前提が覆りうることを示した。
2. 複数グループによる組織的な攻撃#
Galaxy Researchの報告によると、少なくとも十数名のハッカーが関与しており、背後には複数のグループが存在すると見られている。単独犯による偶発的な攻撃ではなく、組織的な大規模窃盗の様相を呈している点は特筆すべきだ。
3. 暗号資産ハッキング被害の深刻化#
ブロックチェーン監視企業TRM Labsのデータによると、2026年に入ってからだけで暗号資産企業を標的としたハッキングが200件以上発生しており、被害総額はすでに9億5000万ドルを超えている。今回のColdcard事件はその一端に過ぎない。
4. Coinkiteの対応#
Coinkiteは木曜日にセキュリティアドバイザリを公開し（土曜日に更新）、ユーザーに対してデバイスのアップデートと、新しいシードフレーズへの「移行」を強く呼びかけている。TechCrunchのコメント依頼には、記事公開時点で回答していない。
まとめ#
Coldcardの脆弱性を悪用した今回のハッキングは、ハードウェアウォレットに対するユーザーの信頼を根底から揺るがすものだ。被害額は1億3000万ドルを超え、複数の調査機関がその規模を概ね裏付けている。
Coinkiteはすでにアドバイザリを発行しており、Coldcardユーザーは速やかにデバイスをアップデートし、シードフレーズの移行を行うことが急務とされている。
筆者の見解: 今回の事件は、ハードウェアセキュリティにおいて「コードの品質」がいかに重要かを改めて浮き彫りにした。ユーザーの運用が完璧であっても、製品側の実装に問題があれば保護は無意味になる。ハードウェアウォレットを利用するすべてのユーザーにとって、製品のセキュリティ情報を継続的に確認することの重要性を示す事例といえる。
出典: Hackers steal over $130M by exploiting bug in offline hardware wallets (TechCrunch, Lorenzo Franceschi-Bicchierai, 2026年8月4日)
