弱い乱数生成により作成されたシードが狙われ、旧ウォレットの資金流出が続く
ビットコイン（Bitcoin/BTC）向けハードウェアウォレットColdcard（コールドカード）の一部ファームウェアに存在する脆弱性を悪用した攻撃が、第4波に突入した可能性がある。
🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW
THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS
pattern identified:
blocks…— Alex Thorn (@intangiblecoins) August 3, 2026
おそらく現在、4回目の組織的なコールドカード攻撃が発生しています。メンバープールにはまだ同様のトランザクションが確認待ちで存在し、以前に確認されたトランザクションはRBFオプトインを…
攻撃者は予測可能なシードからウォレットへアクセスしており、累計被害額は約1億1,000万ドル（約173億円）に迫ると報告されている。
第4波では数百のアドレスから約448BTCが流出または危険に
Galaxy Research（ギャラクシー・リサーチ）の調査責任者アレックス・ソーン（Alex Thorn）氏は2026年8月3日（月曜日）、Coldcardで生成された脆弱なビットコインウォレットを狙う第4波の攻撃が進行している可能性が高いと警告した。
分析では、第4波の攻撃により、218件の取引を通じて462のアドレスから388.93BTCが移動したと特定された。その後の精査では、確認済みおよび保留中の取引を合わせ、約448.73BTCが流出または危険にさらされていると推定されている。送金先の多くは新しく作成されたアドレスで、攻撃者は複数の送金先を経由した後、より大きなウォレットへ資金を集約していたという。
Galaxy Researchは、最初の3波で4,585のビットコインアドレスから1,367BTCが流出したと推定しており、別の集計では、4回の攻撃を通じて約5,000のウォレットから1,755BTC以上が流出し、被害額は約1億1,000万ドルに達したと報告されている。
保留中の不正取引でRBF（手数料による代替）が有効な場合、被害者がより高い手数料を設定した取引を送ることで、攻撃者より先に資金を移動できる可能性もある。ただし、取引が承認されるまでの限られた時間内に対応する必要がある。
ファームウェア更新だけでは古いシードを保護できず
脆弱性は、Coldcardがウォレットの復旧フレーズを生成する際の乱数生成処理に起因する。
2021年3月以降に公開された一部のファームウェアでは、ハードウェア乱数生成器ではなく、予測可能なデバイス情報やタイミングデータに依存するソフトウェアベースの処理が使用されていた。
これにより、攻撃者は物理的に端末を入手しなくても、計算処理によって影響を受けたウォレットのシードを特定できる可能性が生じた。影響対象は、脆弱なファームウェアを使用して作成された一部のシードとされている。
製造元のCoinkite（コインカイト）は緊急ファームウェアを公開したが、更新によって保護されるのは今後新しく作成されるシードに限られる。脆弱な環境で既に生成された復旧フレーズは、端末を更新したり別の端末へ復元したりしても安全にはならない。
同社は、ユーザーに最新のファームウェアを導入したうえで新しい復旧フレーズを作成し、影響を受けていないウォレットへビットコインを直ちに移動するよう呼びかけている。
