ハッカーによるColdcardのビットコインウォレットからの資金流出は止まっておらず、盗まれた総額は現時点で1億1,400万ドルを超えると推計されている。
ギャラクシー・リサーチのアレックス・ソーン氏によると、第4波にあたる攻撃は8月2日夕方に始まったとみられる。同氏はニューヨーク時間の午後7時50分ごろの投稿で、今回の盗難の一部である可能性が極めて高い新たなトランザクションにより、388.9BTCが移動していたと明らかにした。
一連の攻撃は7月30日、ウォレットから3,500万ドルを超えるビットコインが持ち去られたことから始まった。Coldcardを製造するCoinkiteは、Coldcard MK3のファームウェアのバグ（2021年3月のバージョン4.0.1以降）により、シードの生成がハードウェアの真性乱数生成器ではなく、脆弱なソフトウェアの擬似乱数生成器（PRNG）に切り替わっており、その結果、攻撃者が事実上、ユーザーのシードフレーズを推測できる状態になっていたと説明している。
流出は週末を通じて続き、その間、Coinkiteをはじめとするビットコイン関係者は、Coldcardのユーザーに対して直ちに資金を移すよう呼びかけた。
Trezorのヨゼフ・テテック氏は8月3日にXへ投稿し、進行中の流出のなかで最大のトランザクションは、これまでのところ51BTCだったと述べた。
The biggest drained address (so far) is 51 BTC. Damn. Imagine owning 50+ btc in cold storage and losing it all. Must be absolutely crushing. pic.twitter.com/qu6CiQOjeV
— Josef Tětek (@JosefTetek) August 3, 2026
抜き取られたアドレスで最大のものは（現時点で）51BTCだ。なんてことだ。50BTC以上をコールドストレージに入れていて、その全部を失うところを想像してほしい。打ちのめされるに違いない。 ——ヨゼフ・テテック（@JosefTetek）2026年8月3日
Coinkiteはその後、さらなる盗難が続いたことを受けて、Coldcardの全モデルが脆弱だったと認めている。エンジニアからは、Coldcardに関連するすべてのビットコインアドレスが、いずれ危険にさらされる可能性があるとの警告も出ている。
※編集部注：Coinkiteのアドバイザリーは、米国東部夏時間の8月1日午後2時35分（日本時間8月2日午前3時35分）に再更新された。影響対象は、MK2・MK3の4.0.1〜4.1.9、MK4・MK5のStandard版5.6.0未満／Edge版6.6.0X未満、QのStandard版1.5.0Q未満／Edge版6.6.0QX未満。独立したサイコロによる十分なエントロピーを追加していた場合などを除き、対象ファームウェアで生成されたシードはリスクにさらされる。ファームウェアを更新しても既存シードは修復されないため、Coinkiteは修正版への更新後に新しいシードを生成し、資金を移行するよう案内している。なお、TAPSIGNER・OPENDIME・SATSCARDについては、コードベースが異なるため影響を受けないとしている。
同社は8月2日、「当社について厳しい問い」を自らに投げかけていると述べた。
「この3日間は、当社の歴史のなかで最も厳しい日々の一つだった。そして、これを読んでいる多くの人にとっては、それよりはるかにつらいものだった」とCoinkiteは述べた。
「何年もかけて貯めた資金が消えた。何年もかけて築いた信頼が壊れた。その影響は現実のものであり、一部の人にとって、その損害は取り返しがつかない」
同社はさらに、脆弱なファームウェアを搭載して製造したColdcardの在庫のうち、手元に残っていた分を廃棄したとし、同製品の出荷は停止していると明らかにした。
Coinkiteは、広く使われているコールドストレージ用のハードウェアウォレットをはじめ、複数のビットコイン関連製品を手がけている。
決済企業Blockのエンジニアは今回のハッキングを調査し、攻撃者が資金を動かす際に著名なブロックチェーンサービス事業者を利用していたと報告した。エンジニアらは、この調査結果を当該事業者と連邦当局に伝えたとしている。
