Galaxy Digitalは、ハードウェアウォレット「Coldcard」の脆弱性を悪用した攻撃者を少なくとも15人確認した。被害申告を手掛かりに未把握だった加害者の特定を進めており、確認済みの3件の攻撃による被害額は約1億ドルに上る。4件目の疑いがある事案も含めると、被害総額は最大1億3000万ドルに達する可能性があるという。

Cointelegraphが4日（現地時間）に報じたところによると、Galaxy Digitalでリサーチ部門を統括するアレックス・ソン氏は、事案発生後に新たに寄せられた被害申告を基に、これまで把握できていなかった攻撃者を追加で特定したと明らかにした。

ソン氏は今回の事案について、中央集権型取引所へのハッキングとは性質が異なると説明した。新たな攻撃者の把握は、被害者からの申告を通じて初めて可能になったためだという。

実際、1BTC未満の盗難被害を申告したユーザーの報告をきっかけに、126アドレスから計12BTCが流出した新たな被害が確認された。

被害規模も拡大している。Galaxy Digitalのリサーチ部門は、確認された3件の攻撃による被害額を1億ドル（約150億円）と推計した。さらに、4件目の疑いがある事案まで含めると、被害総額はビットコイン換算で約1億3000万ドル（約195億円）に増える可能性があるとみている。

今回の事案は、コールドストレージ型ウォレットの安全性を巡る議論も呼んでいる。Dragonflyのマネジングパートナー、ハシブ・クレシ氏は、一部のAIモデルが20分以内に当該脆弱性を再発見したとした上で、2ドル（約300円）程度のAI対策でも防げた可能性があると主張した。

一方、暗号資産分析プラットフォーム「トクノミスト」でデータ部門を率いるタッサポット・セレジッティマ氏は、脆弱性が公開される前にAIモデルがこれを独自に発見していた可能性は低いとの見方を示した。

また、暗号資産リサーチ企業Castle Labsの共同創業者フランチェスコ氏は、今回の脆弱性によりColdcardの秘密鍵が影響を受けた可能性があると指摘した。Coldcardではファームウェアの不具合により、標準的なウォレットより大幅に低い40ビット水準の秘密鍵エントロピーが使われていたと説明。12語シードが前提とする128ビット標準と比べ、攻撃のハードルが下がっていたとしている。