ColdcardバグでAI悪用、1億1,200万ドル流出

Coldcardのバグで8,600超のアドレスから1,778BTCがAIを使って盗まれました。資金保護には新しいファームウェアでのシード生成が必要です。

2021年3月に導入されたColdcardハードウェアウォレットの重大なファームウェアバグにより、攻撃者は弱体化したシードフレーズ生成プロセスを悪用し、8,600以上のウォレットアドレスから1,778BTC超（1億1,270万ドル以上）を盗み出しました。この脆弱性はファームウェアバージョン4.0.1に存在し、複数のColdcardモデルに影響を及ぼしました。安全なハードウェア乱数生成器から予測可能なソフトウェアベースのものへとシード生成が切り替えられていたためです。 この欠陥は数年間発見されず、ハードウェアウォレット史上最大の被害となりました。アナリストによると、攻撃者は制限のないAIモデルを用いてバグを特定・悪用した一方、防御側はAI安全ポリシーにより制限されていました。攻撃は2026年7月下旬に始まり、41分間で1,000BTC以上が盗まれました。 マルチシグウォレットは影響を受けておらず、8月6日以降新たな盗難は確認されていません。単にファームウェアを更新するだけでは既存のウォレットは安全にならず、資金を守るには新しいファームウェアで新たなシードフレーズを生成する必要があります。