ハードウェアウォレット「Coldcard」の脆弱性を巡り、流出したビットコインが約1082.65BTC、約7020万ドル（約105億円）規模に拡大した。これを受け、Binance創業者のチャンポン・ジャオ（CZ）氏は、暗号資産保有者に対してウォレットの安全対策を緩めないよう呼びかけた。

Decryptによると、ジャオ氏は1日、ハードウェアウォレットでもバグは起こり得ると指摘し、長年使われてきた製品も例外ではないとの認識を示した。

同氏はX（旧Twitter）への投稿で、「100％安全なものはない」と言及した。資産を複数のウォレットに分散して保管すればリスクを一定程度抑えられるものの、それでも万全ではないとした上で、最後に「Stay SAFU」と呼びかけた。

今回の問題は、カナダの開発会社Coinkiteが製造するColdcard端末で見つかった欠陥を受けたものだ。原因は2021年3月に配布されたファームウェアのビルド不具合にある。影響を受けた端末では、シードがハードウェア乱数生成器ではなくソフトウェア側の代替ルートで生成され、秘密鍵が本来の想定より大幅に推測されやすい状態になっていたという。こうした端末で生成されたシードは、その後にファームウェアを更新しても問題は解消されない。

被害規模も急速に膨らんでいる。当初は約594BTC、約3800万ドル（約57億円）相当が約500のウォレットから流出したとみられていた。これに対しGalaxy Researchは、ブロックチェーンエンジニアが確認したパターンをもとに資金移動を追跡した分析の結果、7月30日の41分間に1196のアドレスから合計1082.65BTCが引き出されたと明らかにした。流出額は初期推計のおよそ2倍に拡大した格好だ。

Galaxy Researchによれば、すべての出金取引で同一の固定手数料が支払われ、おつり用の出力も確認されなかった。こうした特徴は、利用者本人による資金移動というより、すでに鍵を確保していた自動化ツールが資金を一斉に移した可能性を示すという。被害アドレスにはネイティブSegWitと旧来形式のアドレスが混在しており、単一の方式ではなく複数の経路で鍵が探索された可能性も示唆された。

流出したビットコインは数分のうちに少数のアドレスへ集約され、Galaxy Researchの基準ではその後の追加移動は確認されていない。攻撃者は7月30日の短時間に、複数のアドレスを一斉に空にしたとみられる。

Coinkiteは緊急の修正パッチを配布した。ただ、同社は影響を受けた可能性のある利用者に対し、単純なアップデートではなく、新たに生成したシードへ資産を移すよう推奨している。今回の事案は、ハードウェアウォレットが比較的安全な保管手段とみなされてきた一方で、ファームウェアやシード生成過程に欠陥があれば大規模な被害につながり得ることを改めて示した。

ジャオ氏はXで、「ハードウェアウォレットにもバグはあり得る。長く使われてきた古いウォレットでも同じだ。資金を複数のウォレットに分散する方法はあるが、そこにも別のリスクがある。100％安全はない。最新情報を把握し、資産を守ってほしい」と投稿している。