Coldcardファームウェアの欠陥：100M+ BTCの盗難が確認、可能性として第4波

Galaxy Researchによると、Coldcardファームウェアの脆弱性を悪用した「盗難」は現在、1,596 BTC（約1億ドル超）として確定しており、約7,300件のアドレスから3つの主要な攻撃波と14件の小規模な事件を通じて盗まれたとされています。追加の第4の波の可能性もあり、確信度は中〜高で、総損失は2,055 BTC（約1.3億ドル）まで膨らむ恐れがあります。Galaxyは第4波について、被害者からの報告がまだないため「確定」合計には含めていません。これまでに73人の被害者が同社へ連絡し、最初の3つの波の検証に協力したとのことです。 オンチェーンでは、盗まれたビットコインの約90%はまだ動いていません。また攻撃者/被害者のアドレスは、米国の連邦捜査当局、取引所、サイバー捜査チームに共有済みで、スイープ（資金回収・追跡）は継続中とされています。Galaxyはこの件を、2021年3月のColdcardファームウェアのビルド時のエラーに結び付けています。具体的には、設定によりデバイスのハードウェア乱数生成器がスキップされ、鍵生成が、チップのシリアル/タイマー情報からシードされたソフトウェア代替にフォールバックしてしまったというものです。修正版ファームウェアは7月31日に配布されましたが、脆弱なセットアップで既に生成されてしまったシードは修復できません。 トレーダーにとって、BTCの直近の市場影響は限定的である可能性が高い一方、Coldcardのファームウェア欠陥に関する見出しは、自分で管理する（self-custody）ことへのリスク許容度を一時的に揺らす可能性があります。長期的には、脆弱性が判明した後にColdcardのファームウェア更新を遅らせたユーザーを中心に、運用上のセキュリティへの注目が一段と高まるという示唆があります。