Anthropicのコーディング支援AI「Claude Code」が、ビットコインのハードウェアウォレット「Coldcard」の重大な脆弱性を約8分で見つけ出したと報じられた。この脆弱性は実際の攻撃に悪用された可能性があり、暗号資産コミュニティでは被害額が1億ドル（約150億円）を超えるとの見方も出ている。

ブロックチェーンメディアのU.Todayが3日（現地時間）に報じたところによると、開発者とセキュリティ研究者がClaude CodeにColdcardのソースコードをレビューさせたところ、過去の攻撃で使われたとされる脆弱性を特定したという。

Redditへの投稿では、Claude Codeは約8分の推論後に問題箇所を突き止めたとされる。セキュリティ研究者のメデューサはX（旧Twitter）で、「Claude Codeが1回のプロンプトでColdcardの脆弱性を見つけた」「推論時間は8分だった」と説明し、今後の影響に警戒感を示した。

問題の中心にあるのは、Coldcardのファームウェアにおける暗号学的乱数生成の実装だとみられている。ハードウェアウォレットでは、秘密鍵の生成や取引署名に予測不能な乱数が欠かせない。

一方、乱数生成の過程で十分なエントロピーを確保できなかったり、生成値が予測可能になったりすると、秘密鍵が漏えいするリスクが生じる。

今回の脆弱性は、ビットコインのハードウェアウォレット業界で起きた大規模侵害の一つに関連するとみられている。初期分析では、攻撃者が1時間足らずで1080BTC超を盗み出したと推定された。

その後、コミュニティでは被害総額が1億ドル（約150億円）を上回る可能性があるとの見方も浮上した。

業界内では、今回の問題は特定メーカー固有の失敗にとどまらず、ハードウェアウォレット業界全体の構造的な課題を示したとの指摘も出ている。

BlockTower Capitalの創業者アリ・ポール氏は、今回のColdcard侵害について、一社の問題ではなく、暗号資産ウォレット業界に共通する根本的なセキュリティ上の弱点を示す事例だと指摘した。乱数生成や秘密鍵保護の仕組みを含め、中核的な防御設計全般の見直しが必要だとの見方を示している。

攻撃が現在も続いている可能性もある。Galaxy Researchのアレックス・ソン氏は、オンチェーンデータを根拠に、Coldcardに関連する組織的攻撃の第4波が継続していると明らかにした。

同氏によると、ビットコインのブロック960,778番から960,792番までの間に218件の不審な取引が確認され、462の被害アドレスから約389BTCが移動したという。

こうした状況を受け、Coldcard利用者には緊急対応が求められている。アレックス・ソン氏は、影響を受けた機器に資金が残っている場合は、直ちに別のウォレットへ移すべきだと強調した。

あわせて、攻撃者より先に取引を確定させる可能性を高めるため、十分な手数料を設定する必要があると助言した。

今回の事例は、AIが実際の暗号資産関連の脆弱性を短時間で発見できる可能性を示した一方、既存の欠陥が大規模な資産流出に直結し得るリスクも改めて浮き彫りにした。とりわけ、ウォレット防御の根幹である乱数生成で問題が生じたことで、ハードウェアウォレット業界全体でセキュリティ検証の強化は避けられない情勢にある。

今後は、Coldcard利用者の被害規模の実態や、追加攻撃が拡大するかどうかが焦点となる。