Coldcardのビットコインウォレットを狙った一連の流出で、第3次被害分の約45%に当たる97.09BTCがすでに移動したことが分かった。攻撃者はCoinJoinやクロスチェーン取引を通じて資金の追跡を逃れようとしている可能性があり、被害総額は従来の推計を上回る1806BTC規模に拡大している。

Decryptが7日（現地時間）、Galaxy Researchの分析として報じた。それによると、第3次流出分のうち97.09BTCの移動が確認された。流出当時の相場では約780万ドル、約11億7000万円に相当する。

直近の動きでは、流出したビットコインの追跡を難しくする手口が確認された。Galaxy Researchによると、攻撃者は7日にCoinJoinを実行し、2日にはTHORChainを使って盗んだビットコインをEthereumに交換したという。

同社は、攻撃者が流出した暗号資産を継続的に移動させながら、資金洗浄を進めているとみている。

資金移動のパターンも判明した。Galaxy Researchの追跡では、攻撃者は残高の大きいウォレットから順に、より残高の小さいウォレットへ資金を移している。

すでに残高上位1～11位のウォレットにあった資金は移動済みだという。一方、次の10ウォレットには計30.81BTCが残っており、61～293位の少額保有ウォレットにも33.77BTCが分散していることが確認された。

被害がさらに広がる可能性も浮上している。Galaxy Researchは追跡の過程で、58アドレスからなる未確認の保管ウォレット群を新たに特定し、Coldcard被害者との関連性が高いと判断した。

この58アドレスを被害に含めると、今回のColdcard攻撃による流出量は計1806BTCに達する。現行レートでは約1億4390万ドル、約215億8500万円に相当する。

もっとも、流出したビットコインのすべてが外部に持ち出されたわけではない。Galaxy Researchは、全体の被害規模を基準にすると、約82%の資金が依然として攻撃者の既存アドレスに残っていると分析している。

また、すでに動いた資金の相当部分については、単なるウォレット間の移し替えではなく、資金洗浄を目的とした移動だった可能性が高いとみている。今後、残るビットコインに追加の移動があれば、実際の被害規模や洗浄ルートの全体像がさらに明らかになる見通しだ。

一連の流出は7月30日に始まった。原因として指摘されているのは、Coldcardの製造元であるCoinkiteが2021年に配布したファームウェアの欠陥だ。

この欠陥は、Coldcardがウォレットのシードフレーズを生成する際に使う乱数の強度を弱めたとされる。攻撃者はこの脆弱性を悪用し、個人のシードフレーズを総当たりで推測することで、実機に触れずに単一署名アドレスに保管されていたビットコインを奪えたという。

被害は発生後に急拡大した。Galaxy Researchは8月中旬時点で、190人の被害者と8600超のアドレスから約1779BTCが流出したと特定している。

今回新たに関連付けられた58アドレスを含めると、総流出量は1806BTC規模に膨らむ。追加の攻撃があった可能性も指摘されているが、Galaxy Researchは第4次流出の発生は確認できていないとしている。

今後の焦点は、既存アドレスに残る資金が追加で動くかどうかだ。相当量のビットコインがなお残存しているうえ、新たな被害アドレス群も見つかっており、被害の全容解明にはなお時間を要する可能性がある。