FBIがColdcardハッカーを特定済みなのか
2026年7月、人気ハードウェアウォレットColdcard（コールドカード）で発生した一連の暗号資産流出被害は、1,800 BTC＝約1億1,800万ドル（約187億円）以上が影響を受ける深刻な事態となった。
長年潜んでいた乱数生成＝エントロピーの不具合を突いたこの攻撃で、最大の疑問は「犯人を特定できているのか」そして「なぜ被害資産が手元に戻らないのか」へと移っている。
1/ During our investigation of the Coldcard drain yesterday, we identified an unusual pattern in the sweeps. That pattern led us to a hypothesis that has since been confirmed: the operator used a paid account at a well-known blockchain-services provider to query the source… https://t.co/l5McyhhcNn
— Clay Garrett (@clay_garrett) July 31, 2026
昨日、コールドカードの不正利用に関する調査を行った際、不正アクセスに異常なパターンが見られました。このパターンから、ある仮説が立てられ、その後、それが裏付けられました。すなわち…
最大規模となった“第1波”の攻撃（1,082.65 BTCが流出）において、捜査機関は犯人の身元に関する強力な手がかりを得ていると見られている。Block社のエンジニアリング・リードであるクレイ・ギャレット（Clay Garrett）氏によると、攻撃者は資金を一括送金（スイープ）する際、著名なブロックチェーン・プロバイダーの有料サービスを利用していた。
同プロバイダーのアクセスログには、ハッキングの動きと、極めて高い精度で一致する照会記録が残されていたため、そのデータは直ちに当局へ共有された。Galaxy Researchのアレックス・ソーン（Alex Thorn）氏も、第1波および同様のパターンを示した第2波（約76 BTC）の実行者について、法執行機関がすでに把握している可能性が高いと示唆している。
なぜ1,000 BTC以上のビットコインは回収されないのか
資金の所在自体は判明しており、第1波で流出した資産は攻撃者が管理する特定の3つのアドレスに滞留したままである。しかし、資金が回収されない背景には以下の要因が存在する。
物理的・法的な差押えの壁：
ハッカーのIPアドレスやアカウント情報を掴んでも、秘密鍵を自発的に開示させるか、物理的に身柄と端末を拘束しない限り、ブロックチェーン上の資金を直接強制収用（クローバック）することは困難。
後続攻撃によるロンダリング：
第1波と異なり、その後に発生した小規模な資金抜き取りでは、他のサイバー犯罪者が脆弱性をリバースエンジニアリングして便乗したと見られ、即座の資金洗浄（マネーロンダリング）や急速な送金が行われている。
返還ルールの不透明さ：
もし仮に一部の資金を差し押さえられたとしても、どの被害者に優先的に分配されるのか、返還手続きがどう進むのかについて、法制上の明確なプロセスが確立されていない。
内部犯行説とコード欠陥の真相
一部では、過去にCoinkite（コインカイト）社自身が言及していたリタイアメント・アタック（開発者が意図的に脆弱性を残して逃亡する手法）や内部犯行を疑う声も上がった。
2021年のコード改修時、Trezor（トレザー）由来の暗号ライブラリから自社製libngu（リブngu）へ移行した際、バグにより疑似乱数生成器（Yasmarang：ヤスマラン）へ処理が迂回（うかい）され、鍵の予測が容易になる致命的な過失が生じていたためだ。
しかし、現在では内部犯行の可能性は極めて低いと推測されている。
・証拠の過剰な露呈：
コードの変更者（偽名「Switch」）とCoinkite社CTOのGPG署名や連絡先が共通しており、潜伏目的としてはあまりに不自然。
・運営陣の継続的な対応：
過去の巨額詐欺ケースと異なり、同社経営陣は姿をくらますことなく、脆弱性の公表や対応ファームウェアの提供。
今回の事件は、巧妙なか“持ち逃げ”ではなく、オープンソースのライブラリ統合時におけるレビュー不足と、開発側の慢心が招いた複雑な技術的事故であった側面が強いと分析されている。犯人特定の包囲網が狭まる一方、ブロックチェーンの構造的な壁と複雑な追跡状況が、資産回収への道を拒み続けている。
