coinkite

The Blockによると、Coldcardの脆弱性によるウォレット移行の影響で、先週のビットコイン新アドレスの数が約26万から33万を超え、2026年のほとんどの期間の下降トレンドを逆転させました。7月30日以降、Coinkiteハードウェアウォレットのユーザーは4回の攻撃で少なくとも1,816 BTC（約1.16億ドル）を失いました。この脆弱性は2021年のファームウェアの欠陥に起因しており、助記詞を生成する際に安全性の低いソフトウェア乱数生成器を使用し、デバイス内蔵のハードウェアエントロピー源を使用しなかったため、攻撃者はオフラインで生成されたウォレットをブルートフォース攻撃で解読可能でした。Coinkiteは2021年3月から安全パッチのリリースまでにウォレットを生成したユーザーに新しいウォレットへの移行を推奨しています。この事件は自己管理の実施リスクを浮き彫りにし、ユーザーは自己管理と中央集権取引所やETFなどの管理ソリューションの利点と欠点を再評価しています。

Bitcoin News は X プラットフォームで発表し、Coinkite は、この脆弱性が2つの無関係なファームウェアサブモジュールの境界に存在し、ビットコインや暗号コードの中にはないため、何年にもわたって人工および AI 支援のコードレビューを回避してきたと述べています。Coinkite は、事件発生後、Kimi K3、Claude Fable、Codex 5.6 を含む最前線の AI モデルをテストしましたが、いずれもこの欠陥を認識しませんでした。Coinkite は現在、安全性が重要なプロジェクトに対して、ビルドシステムとサブモジュールの境界を専門的に監査するよう促し、AI 支援の開発がビットコインエコシステムに類似の盲点を残す可能性があると警告しています。

Bitcoin News は X プラットフォームで、新しい証拠が示すところによれば、LibNgU コードを作成した匿名の switck アカウントは実際には Coinkite の共同創設者兼 CTO の Peter Gray である可能性があり、そのコードは COLDCARD エントロピー障害事件の核心にあると発表しました。研究者たちは、Gray の GPG キーが数十回の switck 提出を署名しており、他の識別子が二つのアイデンティティを関連付けているように見えると述べています。ビットコイン開発者の James O'Beirne は、2025 年 5 月に Coinkite に対して、LibNgU の RNG 実装が疑わしいように見えると警告し、その実装を削除することを提案したが、相手は問題があればすでに発見されているはずだと返答したと述べています。スクリーンショットには、2021 年 4 月にはすでにユーザーが LibNgU の書き直しについて疑問を呈していたことが示されています。これらの発見が正確であれば、そのコードを導入したエンジニアは後に 1,800 枚以上の BTC が盗まれる事件に関連しており、脆弱性が公に開示される1年以上前に RNG 実装に関する直接的な警告を受けていたことになります。

ビットコインハードウェアウォレットメーカーの Coinkite は、2026 年 7 月下旬に、2021 年 3 月に導入されたファームウェアの構築エラーが原因で、一部の Coldcard ウォレットがより小さな範囲からニーモニックを生成し、ユーザーの秘密鍵のランダム性が低下したことを明らかにしました。Galaxy Research の研究者は、Coldcard の脆弱性が複数のラウンドで悪用され、観測されたビットコインの損失が数日内に約 8,800 万ドルから近く 1.14 億ドルに増加したと述べています。研究者は、他の影響を受けやすいアドレスが依然として標的になる可能性があると警告し、多くの Coldcard ユーザーがビットコインを移転しました。Coldcard はビットコインのみをサポートするウォレットで、microSD カードとオプションの QR コードを介してオフライン署名をサポートしています。このウォレットは 2017 年に発売され、安全性に重点を置いたビットコインハードウェアウォレットの一つとして長年評価されています。

カナダのハードウェアウォレットメーカー Coinkite はセキュリティ警告を発表し、Coldcard Mk3 を使用し、ファームウェア 4.1 から 5.3 バージョンで助記詞を生成したユーザーに対して、早急に資産を移動することを推奨しています。会社は、初期分析により、BIP-39 パスフレーズを使用しているウォレットのリスクは低いと示されており、Mk4、Q および Mk5 デバイスは影響を受けないと述べています。現在も調査は進行中です。一方で、セキュリティ研究者たちは、594.48 BTC（約 3830 万ドル）に関わる異常な移転事件を調査しています。AnchorWatch の CEO ロブ・ハミルトンは、攻撃者が 3 つのブロック内で 500 件の取引を通じて 1324 の UTXO を移転したと述べ、問題はウォレット生成プロセスにおける乱数エントロピーの不足に起因している可能性があると推測しています。Wizardsardine の CEO ケビン・ロアックは、脆弱性は特定のソフトウェアライブラリ、安全チップ、または特定のデバイスロット、ファームウェアバージョンの低エントロピー乱数生成器に関連している可能性があると考えており、攻撃者は AI を利用して影響を受けたウォレットをブルートフォース攻撃するスクリプトを生成した可能性があります。現在のところ、この資金移転が Coldcard Mk3 の脆弱性と直接的な関連があることを示す確固たる証拠はありません。