ハードウェアウォレット「Coldcard」のファームウェア脆弱性が悪用され、1200超のアドレスから最大8900万ドル（約134億円）相当のBitcoinが流出した。Bitcoinに批判的な立場で知られるピーター・シフ氏は、この事案を受け、暗号資産の保管インフラが抱えるセキュリティリスクに改めて警鐘を鳴らした。

ブロックチェーンメディアのU.Todayが3日（現地時間）に報じたところによると、シフ氏はAIと量子コンピューティングの発展によってハッキングのハードルが下がり、Bitcoin保有者のリスクが一段と高まる可能性があると主張した。

今回の事案は、近年発生したハードウェアウォレット関連のセキュリティ事故の中でも最大級の一つとみられている。調査チームは、Coldcardのファームウェアにあった欠陥が、大規模かつ組織的な窃取につながったとみている。

問題の発端は、ウォレットのランダムシード生成プロセスにあった。報道によると、攻撃者はこの脆弱性を突いてウォレットのシードを再構成し、影響を受けたアドレスの資産を順次流出させたという。

被害推計も拡大した。当初は約7000万ドルとみられていたが、その後、追加の被害ウォレットが確認され、流出額は約8900万ドル（約134億円）に膨らんだ。シフ氏は「AIと量子コンピューティングがハッキングを容易にし、状況はさらに悪化するだけだ」と述べた。

もっとも、今回の攻撃そのものがAIや量子コンピューティングによって実行されたわけではない。直接の原因は計算能力の進歩ではなく、あくまでファームウェアの欠陥だった。

また、攻撃対象となったのはBitcoinのブロックチェーンや暗号技術そのものではない。安全性の高さを訴求してきたハードウェアウォレットのソフトウェア設計上の不備が、今回の流出の起点となった。

この点は、自己保管を重視する利用者にとって重い示唆を含む。Coldcardはこれまで、セキュリティ重視のBitcoin向けハードウェアウォレットとして評価されてきた。信頼の厚い製品だっただけに、今回の事案はコールドストレージが絶対的な安全を意味しないことを改めて浮き彫りにした。

量子コンピューティングを巡る見方は、シフ氏の主張とはやや異なる。暗号分野の研究者の多くは、現時点でBitcoinの暗号体系を現実的に破れる水準の量子コンピュータはまだ存在しないとみている。そのため、ネットワークには将来のプロトコル改善に向けた時間が残されているとの見方が一般的だ。

今回の事例が示したのは、Bitcoinネットワーク自体が破られたかどうかではなく、その周辺インフラがどこまで脆弱になり得るかという点だ。自己保管の安全性は、ブロックチェーンだけで担保されるものではない。運用面のセキュリティ、機器の製造、シード生成、ウォレットのファームウェアといった各要素が、いずれも障害点になり得る。

シフ氏は今回の流出を受け、将来の技術進展が攻撃者に有利な環境を生む可能性があると警告した。一方で、実際の侵害経路はより古典的なソフトウェア欠陥だった。今回のColdcard事案は、Bitcoinプロトコル自体に問題がなくても、保管インフラの脆弱性だけで利用者が大きな損失を被り得ることを示した。