正規のセキュリティ対策を装ったフィッシング攻撃、侵害経路の特定急ぐ
ビットコイン（Bitcoin/BTC）専用ハードウェアウォレットColdcardの公式Xアカウントから、偽のセキュリティ警告が投稿された。
We are investigating how a post containing a phishing link was published from this account. It has since been deleted. Do not visit or interact with that link. COLDCARD’s only official website is https://t.co/KPUcAMDQ4Y. This account has used offline 2FA with tightly restricted access since 2017. We have contacted @X and are reviewing all account access. We will share further verified updates here.
— COLDCARD (@COLDCARDwallet) October 11, 2026
このアカウントからフィッシングリンクを含む投稿が公開された経緯を調査中です。その投稿はすでに削除されました。
そのリンクを訪問したり、操作したりしないでください。COLDCARDの唯一の公式ウェブサイトは https://coldcard.com です。
このアカウントは…
攻撃者は過去に発覚したファームウェアの脆弱性を悪用し、利用者をフィッシングサイトへ誘導。Coldcardは投稿を削除し、侵害経路の調査を進めている。2026年10月11日（日曜日）、Coldcardの公式Xアカウントから、同社のハードウェアウォレット「Mk4」「Mk5」「Q」に重大な脆弱性が存在するとの偽のセキュリティ警告が発信された。
投稿では、ウォレットのリカバリーフレーズ生成に問題があると主張し、利用者にビットコインの早急な移動を要求。Coldcardを装ったフィッシングサイトへのリンクを掲載し、正規のセキュリティ対策を装って誘導していた。
今回の攻撃は、2026年7月に実際に発覚したColdcardのファームウェア脆弱性を利用した点が特徴だ。当時、一部のウォレットで乱数生成に関するソフトウェアの不具合が確認され、リカバリーフレーズの安全性に影響する問題が発生。この脆弱性を悪用した攻撃では、少なくとも7,300のウォレットから約1億ドル（約158.6億円）相当のビットコインが盗まれたと報告されている。
製造元のCoinkite（コインカイト）は修正版ファームウェアを公開し、影響を受けた利用者に新たなリカバリーフレーズの生成と資産の移行を求めていた。攻撃者は当時の修正バージョン番号を偽の警告に引用し、過去の対応を模倣。Coldcardは投稿を削除し、不審なリンクへのアクセスを控えるよう警告するとともに、公式ウェブサイトは「coldcard.com」のみであることを強調している。
厳重な二段階認証下で不正投稿、侵害経路は依然不明
Coldcardによると、公式Xアカウントでは2017年からオフラインの二段階認証を採用し、アクセス権限も厳しく制限していた。しかし、初期調査では不正投稿に対応するログイン履歴やセッション、アクセス記録は確認されなかった。同社は、アカウントの認証情報やオフラインの二段階認証についても、引き続き安全性が維持されていると説明している。
同社はXのプラットフォーム側のアクセス権限や管理ツールを経由した不正投稿の可能性にも言及しているが、これを裏付ける証拠は確認されておらず、侵害経路は特定されていない。
ColdcardはXのサポートへ連絡し、アカウントへのアクセス状況の調査を要請。確認された情報は今後公開する方針を示している。
なお、今回の不正投稿に関連する新たなファームウェアの脆弱性は確認されていない。また、フィッシングサイトを通じた情報流出や利用者の金銭的被害についても、現時点では明らかになっていない。
今回の事件は、公式アカウントから発信されるセキュリティ情報にも不正なリンクが紛れ込む危険性を示した。Coldcardは利用者に対し、重要な情報を公式ウェブサイトで確認するよう呼びかけている。
