ビットコイン向けハードウェアウォレット「COLDCARD」のファームウェアに存在する脆弱性を突く形で、2026年7月30日以降に3波にわたる攻撃が行われ、合計で推定8860万ドル(約140億円)相当のビットコインが盗み出されたとみられることがわかりました。



COLDCARD wallet RNG flaw likely linked to $88 million Bitcoin theft

https://www.bleepingcomputer.com/news/security/coldcard-wallet-rng-flaw-likely-linked-to-88-million-bitcoin-theft/

デジタル資産調査会社のGalaxy Researchによると、COLDCARDのハードウェアウォレットにある脆弱性を悪用し、欠陥のある乱数生成機でシードが生成された数千個のウォレットからビットコインが盗まれたとのこと。

攻撃は、カナダでCOLDCARDの製造を手がけるCoinkiteが脆弱性の存在を公表する30時間前に行われました。

すべての取引について「仮想バイトあたり30サトシ(約2.95円)」というハードコードされた手数料率が使用されていて、お釣りの出力はなかったことから、Galaxy Researchは自動化ツールによって攻撃が行われたと考えています。

Coinkiteによると、脆弱性は2021年3月にリリースされたファームウェアv4.0.0からv5.0.3までに存在するとみられます。

被害に遭ったアドレスの数は1196で、総額は1082.65BTC(約140億円)に上るとのこと。

なお、CoinkiteはCOLDCARD以外のハードウェア製造も手がけていますが、COLDCARD以外の製品は異なるコードベースを利用しているので影響を受けることはないそうです。

脆弱性確認後にCOLDCARDは出荷を即刻停止し、在庫は全破棄したとCoinkiteは報告しています。