エントロピー崩壊：あなたの秘密鍵は誕生した日からランダムではないかもしれない

By: rootdata|2026/08/04 11:00:00

この記事は元々、Zhihuのコラム「暗号参考」の会員にのみ公開されていましたが、今では永久に公開します。

この問題は時効性があるため------影響を受けたアドレスが大量に掃除されており、毎晩知ることで、さらなる露出を防げます。これを有料の壁の後ろに隠しても、誰にとっても良いことはありません。

最後までお読みいただき、第6節を参照して自分がリストに載っているか確認し、影響を受ける可能性のある人に転送してください。

------------以下は本文------------

41分で、1,196のアドレスが空にされました。被害者の共通点は、2021年以降、コインを動かしていないことです。あなたが自己管理のために行ったすべて------オフライン、分割バックアップ、パスフレーズ、マルチシグ------が守っているのは、この鍵の一生です。しかし、誰もその誕生を確認しに戻ったことはありません。そして、鍵の誕生現場には、何の痕跡も残りません：エントロピー崩壊はチェーン上で完全に観測不可能であり、すでに5年前に真実であった可能性があり、今日あなたはそれを確認することができません。

その41分

2026年7月30日、ビットコインチェーン上に奇妙な取引が発生しました。

奇妙なのは金額ではなく、リズムとターゲットです。41分以内に、1,196のアドレスが空にされました。これらのアドレスは互いに関連がなく、異なる年、異なる国、異なる使用習慣に分散しています。唯一の共通点は、所有者のほとんどが2021年以降、これらのコインを動かしていないことです。コールドストレージ、長期保有、教科書的な規律。

8月2日までに、Galaxy Researchが追跡した数字は：約1,367ビットコイン、約8,860万ドル、4,500以上のアドレスです。そして、後に設立された公共証拠サイトcoldcardentropy.orgでは、6つの証拠レベルで合計6,657のユニークソースアドレスが登録されました------その中で最初の協調掃除は500件の取引、594.47722484 BTCで、小数点以下8桁まで正確です。

7月30日、Coinkiteは原因を認めました：彼らのColdcardハードウェアウォレットは、2021年3月から誤った方法で秘密鍵を生成していました。

この文は、その重要性を理解するために一時停止が必要です。ウォレットがハッキングされたわけではなく、リカバリーフレーズが漏洩したわけでもなく、誰かがデバイスを手に入れたわけでもありません。これらのウォレットは、出荷後の正常な動作の毎日、生成されたすべての鍵が、想定されるものよりも十数桁も弱いものでした。そして、この問題は2021年3月から真実であり、その日から2026年7月30日まで、誰も、どんなチェーン上のデータも、どんなデバイスも、それが真実であることを示すことはできませんでした。

ほとんどの人------特に自己管理を信仰とする多くの古参プレイヤー------が理解している自己管理のリスクは次のようなものです：秘密鍵はあなたの手の中にあるので、リスクもあなたの手の中にある；リカバリーフレーズを漏らさず、フィッシングに遭わず、デバイスを交換せず、強制的に脅迫されなければ、コインは安全です。すべての防御工事は「保管」という段階に基づいています。

私が考えるに、より正確なのは：自己管理の最も脆弱な部分は保管ではなく、生成------その鍵が誕生する瞬間にあります。そして、保管リスクとは異なり、生成リスクは「時間的次元の信頼仮定」であり：それは過去のある時点で偽であった可能性があり、その後のどの時点でも観測によってそれを発見することはできません。あなたのコールドウォレットが冷たければ冷たいほど、露出期間は長くなります。

鍵の出生証明

まず、技術用語をすべて捨てましょう。

あなたのリカバリーフレーズは本質的に一連のランダムな数です。「ランダム」という言葉はすべての安全性を担っています------ビットコインの秘密鍵空間は限界がないほど大きく、安全性はどんなロックやパスワードからも来るのではなく、ただ一つのことから来ます：誰もあなたのその一連の数を推測できないことです。

では、この一連のランダムな数はどこから来るのでしょうか？ハードウェアウォレットには、物理的なノイズを利用して真のランダム数を生成する専用のチップがあります------熱ノイズや回路の揺れなど、物理世界自体の不確実性です。それは128ビットのランダム性を生成し、つまり可能性は2の128乗種で、宇宙の原子よりも多いのです。これが、あなたが24個の単語が書かれた紙にコインを安心して置ける理由です。

そして、今回の事故は：コンパイルスイッチが間違って書かれたため、その物理ノイズチップが全く呼び出されなかったことです。デバイスは、ソフトウェア内の擬似ランダム数生成器を使用することに戻されました------公式で計算された、見た目は非常にランダムですが、実際には完全に再計算可能なものです。その結果、Mk2/Mk3モデルは約40ビットの有効なランダム性しか生成しませんでした。

40ビットとはどれくらいか？約1兆通りの可能性です。多く聞こえますが、数日間動かすことを望む普通のコンピュータにとって、1兆は午後の仕事です。

例え話

あなたは高級金庫を購入し、メーカーはロックシリンダーが128ビットの組み合わせを持っていると約束します。あなたはそれを地下室に置き、壁に溶接し、鍵を三つの都市に分けて埋めます。5年が経過し、金庫は一度もこじ開けられず、溶接も完璧で、三つの鍵も揃っています。そしてある日、地下室を開けると、金庫は空です。

原因は：メーカーの生産ラインにスイッチが誤って設定されており、あなたのバッチのロックシリンダーは実際には40ビットの組み合わせしかありませんでした。金庫はこじ開けられたわけではありません------それは合鍵で開けられたのです。そして、出荷初日からこのことは真実でした。あなたがこの5年間行ったすべての防護------溶接、分割、異地------は金庫がこじ開けられる可能性を守っていましたが、この金庫は決してこじ開ける必要がありませんでした。

さらに厄介なのは：このことには何の兆候もありません。金庫は音を立てず、ロックは緩まず、毎年チェックしても異常は見つかりません。あなたが唯一知ることができる瞬間は、それが開かれた瞬間だけです。

これが今回の核心です：私たちは鍵の一生をチェックすることには慣れていますが、その誕生を確認することはありませんでした。そして、誕生現場には痕跡が残りません。

--価格
--
一つの #ifndef が引き起こした5年

3.1 裏返しのヒューズ

2021年3月、Coldcardは基盤の移行を行いました------暗号計算をビットコインコアエコシステム内で長年の実績のあるlibsecp256k1に切り替え、自社のlibNgUライブラリを導入しました。これは品質向上であり、動機は完全に正当です。

問題は、この移行によって持ち込まれた一段の防護コードにあります。random.c（libngu、第22--31行）で、開発者は保険をかけました：コンパイル時にハードウェア乱数発生器が有効になっていない場合、直接エラーを報告し、コンパイルを停止します。この保険はC言語のプリプロセッサ指令を使用しています：

#ifndef MICROPY_HW_ENABLE_RNG

#error "ハードウェア乱数発生器が必要です"

#endif

#ifndefの意味は「このマクロが定義されていない場合」です。この保険を書いた人の考えは、誰かがハードウェア乱数を有効にするのを忘れた場合、コンパイルが失敗し、事故は発生しないということです。

しかし、実際のファームウェア設定では、このマクロは定義されており、その値は0です。

C言語の#ifndefは「定義されているかどうか」だけを問います。「値がいくつか」は問いません。0に定義されていることも定義されていることです。したがって、この保険は「すでに定義されている、すべて正常」と判断し、#errorは決してトリガーされず、コンパイルは順調に進みました------その値が0であることは「ハードウェア乱数が有効になっていない」ことを意味します。

ヒューズが裏返しに装着されました。それは「スイッチがこの部品にあるかどうか」をチェックしており、「スイッチがONに切り替えられているかどうか」をチェックしていません。

そのため、コンパイラはMicroPythonに付属のソフトウェアの擬似乱数生成器を組み込みました。その上流のコードは2018年5月に遡ることができ、MicroPythonの文脈では合理的なバックアップですが、ビットコインの秘密鍵を使用するために設計されたものではありません。

この瞬間から、影響を受けたファームウェアを実行するColdcardは、ユーザーが「新しいシードを生成する」ボタンを押すときに、このソフトウェアの公式を実行することになり、物理的なノイズチップではなくなります。

3.2 40ビットはどれくらい小さいか

Coinkite自身の技術的な振り返りが示す数字は：

Mk2/Mk3 → 有効な検索空間は約40ビット（128ビットであるべき）
Mk4/Mk5/Q → 有効な検索空間は約72ビット（セキュリティ要素SE1/SE2が一部独立したエントロピーを混入し、部分的に緩和された）

影響を受けたファームウェアバージョンはMk2/Mk3の4.0.1から4.1.9（修正版4.2.0）、Mk4/Mk5は5.6.0未満（Edgeラインは6.6.0X未満）、Qは1.5.0Q未満（Edgeラインは6.6.0QX未満）です。

ここには必ず指摘すべきデータの相違があります

Coinkiteの公式見解ではMk4/Mk5/Qは72ビットですが、8月3日のBlockheadの報道が引用した分析では、最終的なシードに入るのは約32ビットだけです。

この二つの数字の差は小さな相違ではなく、40桁の差です。72ビットは今日では安全です------世界の計算能力を合わせても短期間では全てを網羅できません；32ビットはMk3の40ビットよりも脆弱で、数分の問題です。一つの数字が「Mk4ユーザーは安心して移行できる」か「Mk4ユーザーは今まさに掃除されている」かを決定します。

現在までに観測された実際の掃除はMk3時代のシングルサインアドレスに集中しており、これはCoinkiteの72ビットの見解を支持しています。しかし、これは証明にはなりません。攻撃者は当然、コストが最も低いグループを最初に掃除します。この問題自体が今回のテーマの一つの注釈です------仮定が観測不可能な場合、「まだ問題が起きていない」ことは「問題が起きない」証拠ではありません。

3.3 オープンソースは全過程に関与し、全過程で防がなかった

これは全文で有料読者が立ち止まるべき最も重要なポイントです。

Coldcardはオープンソースのファームウェアです。公開されたコードリポジトリがあり、コミュニティのレビューがあり、再現可能なビルドがあります（reproducible build）------理論的には、これは安全監査が提供できる最高の構成です。全過程に関与し、全過程で防がなかったのです。

理由は三層あり、一層一層が直感に反する。

第一層：ソースコードのその行は正しく見える

レビュアーは #ifndef MICROPY_HW_ENABLE_RNG + #error を読んで、「ここには保護がある」と思う。欠陥はこの行の論理にあるのではなく、別のファイルのビルド設定との関係にある。コードレビューはファイルごと、関数ごとに行われる。このバグはファイルとファイルの隙間に潜んでいる。

第二層：再現可能なビルドは「一貫性」を証明するが、「正確性」を証明しない

再現可能なビルドの約束は、誰でも同じソースコードから、完全に同じバイナリをコンパイルできるということだ。つまり、ベンダーがこっそりと不正なものを混入させていないことを保証する。この約束は今回の事故で完全に実現された------誰もが同じバイナリを再現でき、そのバイナリにはソフトウェアの擬似乱数が含まれていた。再現可能なビルドは「あなたが得たものはソースコードからコンパイルされたものである」と保証するが、「ソースコードからコンパイルされたものがあなたが思っているものである」とは決して保証しない。

第三層------この層が最も致命的：二つの乱数実装の関数シグネチャは同じである

Coinkiteは振り返りの中でこの点を明確に述べた：ハードウェアRNGとソフトウェアのフォールバックPRNGは外部から見ると完全に同じである。これは、誰かが本当にバイナリを逆アセンブルし、呼び出しパスを調べても、同じ関数名と同じパラメータのセットしか見えないことを意味する。問題を発見するには、シンボルが最終的にどのターゲットファイルに解決されたかを追う必要がある------これは通常の監査ではほとんど誰も行わない動作である。

Coinkiteの修正方法はまさにこの点を証明している：新しいバージョンはMicroPythonのフォールバックPRNGオブジェクトを明示的に排除し、ビルド時のRNGシンボルチェックを追加した------もしボードレベルのターゲットファイルがrng_get()を提供していない、またはフォールバック実装が完全に排除されていない場合、コンパイルは直接失敗する。つまり、修正したのはその行のコードではなく、「観測不可能」を「コンパイル時に観測可能」に変えたのである。

もう一つ興味深い詳細がある：Coinkiteは、この5年間潜伏していた欠陥が、AIモデルによってオープンソースファームウェアのレビュー中に発見された可能性があると推測している。Coinkiteの創設者NVKの言葉はこうだ：「AI支援のコードレビューは、業界で最も経験豊富な専門家の速度を超えて、潜在的なバグを見つけることができる。」

この言葉には二つの側面がある。良い側面は：このような長年眠っていた仮定の欠陥が、初めて大量に発掘される可能性がある。悪い側面は：攻撃者も同じツールを手に入れており、責任を持って開示する必要がないということだ。すべてのオープンソースで、長期間変わらず、暗号学的原則に関わるコードは、今や新たなリスクの時代に突入した。

この劇は合計三回上演された
============

会員制の重みがこのセクションにある。エントロピーの崩壊は暗号業界の新しい発明ではなく、暗号工学における一種の古典的な事故であり、毎回その形は驚くほど似ている。

4.1 削除された一行のコード、静かに20ヶ月
-------------------

2006年9月、あるDebianのメンテナがOpenSSLをパッケージする際に、md_rand.cの中の二行MD_Update(&m,buf,j);を削除した。削除の動機は完全に善意であり：これらの二行は未初期化のメモリを読み取るため、デバッグツールValgrindとPurifyが絶えず警告を出していた。その一行の隣には「/* purify complains */」というコメントさえ書かれていた。

問題は、これらの二行が異なる文脈で異なることをしていることだ。元の著者は#ifndef PURIFYで実際に問題のある行を保護したが、メンテナは二行とも削除した。

結果：全体の乱数シードプールが無効になり、唯一残った「ランダム」なソースはプロセスIDであった。そして、LinuxのデフォルトのプロセスIDの上限は32,768である。つまり、Debianおよびその派生版を使用して生成された全てのSSHキー、SSL証明書、暗号鍵の可能性の総数は3万種類しかない。

この欠陥は2008年5月13日にLuciano Belloによって発見され、約20ヶ月間静かにしていた。その20ヶ月間、サーバーは一度もエラーを報告せず、ハンドシェイクが失敗することもなく、何の兆候もなかった。生成された全ての鍵は、数学的にも、形式的にも、使用上も、真に安全な鍵と全く同じであった。

4.2 32ビットの時計、静かに6年

今回はビットコインに直接関係しており、今回の事故に最も近い形で発生した。

Libbitcoin Explorer（コマンドラインツールbx）の3.0.0から3.6.0バージョンでは、そのbx seedコマンドがメルセンヌツイスタアルゴリズムを使用してシードを生成していた------そしてこのPRNGは32ビットのシステムクロックだけを使用してシードを生成していた。256ビットのシードリクエストで、実際に得られるエントロピーは32ビットであり、約43億通りの可能性があり、消費者向けハードウェアで数日で全てを網羅できる。

タイムライン：2016年10月にPR#559で導入され、2017年3月に3.0.0がリリースされ、2023年5月に利用され始め、7月12日に大規模な共同盗難（約29.65 BTC）が発生し、7月21日に緊急対応の中で発見され、8月8日に公開され、CVE-2023-39910として番号が付けられた。

最終的にビットコインのメインネットで2600以上の影響を受けたウォレットが特定され、BTC、ETH、XRP、DOGE、SOL、LTC、BCH、ZECの複数のチェーンで90万ドル以上が盗まれた。

二つの数字に注意してください：潜伏期間は6年以上；チェーン上には完全に可視性がない------盗まれる前、これらのウォレットはどの正常なウォレットとも見分けがつかなかった。

4.3 今回は、信頼のチェーンの終点で問題が発生した

三回の事故のメカニズムはほぼ同型である：善意のエンジニアリング変更 → エントロピーソースが静かに置き換えられる → 長期間潜伏 → ある日一斉に収穫される。しかし、今回は三つの実質的な違いがあり、すべてがより悪い方向に進んでいる。

第一に、位置が変わった

Debianの事故はオペレーティングシステムのパッケージ層で発生し、Milk Sadの事故はコマンドラインツールで発生した------どちらも「上流/下流」が存在し、ユーザーは少なくとも理論的には他の選択肢があった。しかし、Coldcardは信頼を排除するために存在するデバイスである。ハードウェアウォレットの全体的な価値提案は「どのソフトウェア環境も信じるな、専用ハードウェアを信じろ」である。信頼のチェーンの終点自体に問題が発生した場合、チェーン上には次の環がない。

第二に、露出期間とユーザー行動は正の相関があり、逆方向に進む

今回の被害者のプロファイルは「2021年以降動かしていない人々」であり------つまり、最も規律正しく、最もベストプラクティスに従っている人々である。コインをロックして動かさなければ動かさないほど、露出期間は長くなり、リストに載る可能性が高くなる。Debianの鍵はローテーション可能であり、SSL証明書には有効期限がある；ビットコインのシードはローテーションされず、一度生成されると生涯使用される。

第三に、発見方法が変わった

Debianの事故は研究者の偶然の発見に依存し、Milk Sadの事故は盗難後の緊急対応の回顧に依存した。今回はAIが自発的にスキャンして発見した可能性がある。これは、この種の欠陥の発見率が構造的に上昇していることを意味する------良いニュースは、既存の地雷が徐々に排除されることであり、悪いニュースは、地雷を排除する人と地雷を踏む人が同じ地図を持っているということである。

どの数字が耐えられ、どの数字が耐えられないか
===============

強度に応じて四つのレベルに分け、企業の自己報告と第三者の検証を分ける。

第一级 · 経済的検証（すでに発生したチェーン上の事実、最も堅固）
------------------------

最初の協同掃除 → 41分以内に1,196のアドレスを空に；500件の取引、594.47722484 BTC｜出典：coldcardentropy.org 証拠データセット、2026-07-30
8月2日までの累計 → 約1,367 BTC、約8,860万ドル、4,500以上のアドレス｜出典：Galaxy Research 追跡、Blockhead報告、2026-08-03
証拠データセットの規模 → 六つの証拠レベルで合計6,657のユニークソースアドレス｜出典：coldcardentropy.org、2026-08
被害者プロファイル → 2021年以降動かしていないコールドストレージアドレスに集中｜出典：複数の報道交差、2026-07-31

第二级 · ベンダーの自己報告（技術的根本原因、権威だが交差検証が必要）
------------------------

根本原因 → random.c（libngu、22--31行）が #ifndef MICROPY_HW_ENABLE_RNG で保護されており、ファームウェアがマクロを0に定義したため、#errorが発生しなかった｜出典：Coinkite技術振り返り、2026-07/08
導入時点 → 2021年3月libNgU移行；上流のMicroPythonフォールバックコードは2018年5月まで遡ることができる｜出典：同上
エントロピー値 → Mk2/Mk3は約40ビット；Mk4/Mk5/Qは約72ビット｜出典：同上
監査の盲点 → 二つのRNG実装の関数シグネチャが同じであり、バイナリレビューでは区別できない｜出典：同上
修正方法 → フォールバックPRNGオブジェクトを明示的に排除 + ビルド時のRNGシンボルチェック、欠如すればコンパイル失敗｜出典：同上

第三级 · 存在する意見の分かれる重要データ（自分で判断する必要がある）
-----------------------

Mk4/Mk5/Qの真のエントロピー値 → Coinkiteは約72ビットと主張し、第三者の分析は最終的なシードに入るのは約32ビットのみと主張｜出典：Coinkite振り返り vs Blockhead、2026-08-03。40桁の差は、このユーザーの緊急性を直接決定する；発表時点で両者の公開対照は見られない。

第四级 · 見解と推測（最も柔らかく、耐えられない）

Coinkiteは、欠陥がAIモデルによるオープンソースファームウェアのレビュー中に発見された可能性があると推測している。NVKは、AIによるレビューの速度が最も経験豊富な人間の専門家を超えたと述べている。
独立した研究者は、影響を受けたデバイスのみで構成されるマルチシグが依然として脆弱であり、影響を受けていない署名者が多数を構成する必要があると考えている——これは第三者の判断であり、Coinkiteの公式見解ではない。

打破すべき幻想

多くの人が「修正ファームウェアがリリースされた」と聞いて安心している。Coinkite自身が非常に明確に述べている——ファームウェアのアップグレードは、すでに生成されたシードを変更したり修正したりしない。ファームウェアのバージョンは、将来生成される鍵を管理するものであり、すでに存在する鍵ではない。これは今回の事故で最も誤解されやすい一文であり、最も高価な一文でもある。

緊急性に基づく優先順位：誰が今日動かなければならないか

提案がどれほど美しくても、読者のコインはまず安全でなければならない。緊急性に基づいて高から低へ。

第一段階 · 直ちに移行

Mk2/Mk3上で、4.0.1から4.1.9のファームウェアを使用して生成されたシングルシグのシードで、当時ダイスエントロピーを追加せず、BIP39パスフレーズを設定していない。この段階は、現在スキャンされているグループである。判断基準は、シード生成時にデバイス上で実行されていたファームウェアのバージョンであり、あなたがデバイスを購入した時期ではない。

第二段階 · できるだけ早く移行

Mk4/Mk5/Q上で、それぞれの修正バージョンの前に生成されたシード。72ビットと32ビットの不一致が解消されない限り、最悪の仮定に基づいて行動する——この種の不一致の正しい処理方法は常に下限を取ることである。

第三段階 · 大体安全だが確認が必要

他の場所で生成され、Coldcardにインポートされたシード——Coinkiteは、これらはこの問題の範囲外であると確認している。なぜなら、これらはこの生成器の産物ではないからである。
生成時に少なくとも50回の公平で独立した、記録または漏洩されたことのないダイスエントロピーを追加した——Coinkiteは、この問題に関しては影響を受けないと述べている。
TAPSIGNER、OPENDIME、SATSCARDは影響を受けない。
Mk1、Mk2はCoinkiteによって正式に説明の範囲に含まれていない。

マルチシグユーザーは特にこの点に注意してください

影響を受けたデバイスのみで構成されるマルチシグは安全ではない。マルチシグは単一の盗難、単一の故障、単一の脅迫から防御するが、「すべての署名者の鍵が同じ故障した生成器から出ている」ことを防ぐことはできない。これは今回の事故で最も過大評価される防御層である——あなたが必要なのは、影響を受けていない署名者が多数を構成することであり、「私はマルチシグを持っているから大丈夫」というわけではない。

移行自体に関する三つの注意点

第一に、移行はリスクのある行動である。Bitcoin Wellの警告は非常に的確である：急いで移行することで生じる損失は、あなたが避けようとしている問題よりも早く訪れる可能性がある。バックアップを間違えたり、デバイスの画面で受取アドレスを確認しなかったりするこれらのエラーは、新しいシードのエントロピーが完璧であっても消えない。正しい順序は：検証済みの修正ファームウェアをインストール→新しいシードを生成→バックアップを記録し確認→デバイスの画面で受取アドレスを確認→まず小額のテストを送信→入金を確認した後に残高を移行→全額確認前に旧バックアップを破棄しない。

第二に、いかなる「シード復元サービス」にも手を出さないこと。こうした事故の後には、資産を取り戻すことができると主張する詐欺師が必ず現れる。彼らが求めるものは一つだけである。

第三に、coldcardentropy.orgのローカルクエリを使用してアドレスを確認することができる——これは、クエリがブラウザのローカルで完了し、アップロードや記録は行われず、公開アドレスのみを入力することが明確に示されている。決してニーモニック、秘密鍵、パスフレーズ、PIN、またはウォレットエクスポートファイルを入力してはいけない。しかし、そのサイトの免責事項を覚えておいてください：未命中は安全であることを意味しない。

この事故は誰にコストを転嫁したのか

第一に、「ユーザーの操作」から「メーカーの構築ライン」にリスクが移転したが、責任は移転しなかった

ユーザーが制御できるすべての変数——保管、バックアップ、オフライン、規律——は、この事故で全て無効になった。実際に生死を決定する変数は、ユーザーが完全に観測できず、審査する権限もないものである：メーカーがコンパイル時に設定したマクロの値である。そして、自主管理の物語の中では、損失はユーザー自身が負担する：預金保険はなく、カスタマーサービスもなく、ロールバックもない。自主管理は資産の制御権をあなたに与えるが、同時にあなたが全く制御できないリスクの一部も与える。

第二に、「オープンソースで監査可能」という看板の価格が再評価された

オープンソースの価値は現実のものであるが、この事故はそれに明確な境界を引いた：オープンソースは「コードが見えることを保証する」が、「見るべき場所に誰かが見ていることを保証する」わけではない。欠陥が構築設定に存在し、同名の二つの関数のシンボル解決に存在する場合、コミュニティのレビューのデフォルトアクションはそのレイヤーには届かない。今後「オープンソース、再現可能な構築」が安全の売り文句として使われる際には、あなたは一言多く尋ねるべきである：誰がシンボル解決をチェックしているのか？構築時のアサーションはあるのか？

第三に、コストは最も規律を守る人に転嫁された

これは今回の事故で最も刺さる部分である。頻繁に取引を行い、財布を頻繁に変更し、コインを取引所に置いている人は、逆に逃れた。一方、2021年に一度生成し、地下室に固定し、5年間触れなかった人々が、ちょうどそのリストに載っている。リスクの露出期間が保有期間と正の相関があるとき、長期主義自体がリスク因子となる。これは道徳的な問題ではなく、構造的な問題である——しかし、確かに一部の人々の「コールドストレージ」に対する理解を変えることになる。

第四に、これは孤立した事例ではなく、形成中のトレンドラインである

2026年7月の事故を広げて見ると：全月で約2億ドル、34件。その中にはAFX Tradeの2415万（検証者キー）、Ostiumの1800万（オラクル署名者キー）、Triple-Aの1180万（ホットウォレット）、WEMIXの625万（オーナーキー）——すべてがキーと権限層に関するものである；一方、従来の契約の脆弱性に関するものはWanchainの1000万、Bonzo Lendの905万、Verus Bridgeの754万のみである。Blockaidの統計によると、2026年上半期に暗号プロジェクトが盗まれた額は10億ドルを超えている。攻撃面は「契約が間違って書かれた」から「キーの出所、保管、権限チェーンに問題がある」へと構造的に移行している。そして、エントロピーの崩壊はこのトレンドラインの極端な形態である：キーが盗まれるのではなく、キーが本当にランダムに生成されたことがないのである。

Coinkiteに対する公正な意見

最も強力な反論を完全に書き出す。

最も強力な反対意見：これは制御された、明確な境界を持つエンジニアリング事故であり、「生成段階における自主管理リスク」という大きな結論を支えるには不十分である。

展開すると、欠陥の境界は非常に明確である——特定のメーカー、特定のモデル、特定のファームウェアの範囲；ダイスエントロピーやパスフレーズを使用するユーザーは影響を受けない；インポートされたシードは影響を受けない；Coinkiteは事故当日に認め、翌日には修正ファームウェアをリリースし、完全な技術的レビューを公開した。その処理速度は業界内でも優れている。さらに重要なのは、これはオープンソースエコシステムが機能していることを証明している：欠陥が発見され、開示され、修正されるプロセスが公開されている。8860万ドルはビットコインの総時価総額に対して、さらには2026年上半期に盗まれた10億ドルに対しても大きくはない。Mk4/Mk5/Qについては、72ビットは予見可能な未来において安全であり、実際には大多数のユーザーは危険にさらされていない。

私の見解

この反論のすべての事実を認める。処理速度については、私はむしろ称賛に値すると考える——この業界では、当日に認め、翌日修正し、完全な根本原因を公開するメーカーは少数である。

しかし、それは問題の本質を回避している：問題は「この損失がどれほど大きいか」ではなく、「次の損失が発生する前に、それが存在することを知る方法があるか」ということである。

Debianは20ヶ月間静かで、Milk Sadは6年間静かで、Coldcardは5年間静かであった。3回の事故のうち、いずれも「監視によって異常が発見された」わけではない——2回は偶然にコードを翻訳し、1回は盗難後の回顧によって、今回もAIスキャンによって発見された可能性がある。静寂期間中、すべてのダッシュボードは緑色であった。これは運の問題ではなく、この種の仮定が設計上観測不可能であることを示している：エントロピーが不足しているシードは、チェーン上でも、デバイス上でも、いかなる監視でも、完璧なシードと全く同じように見える。

したがって、私の結論は「ハードウェアウォレットは使えない」ではなく、むしろ逆である。ハードウェアウォレットは依然として大多数の人々にとって最も合理的な選択であり、私は誰も取引所に追いやるつもりはない。私の結論は構造的な判断である：

システムの安全性は、最も弱い仮定に依存し、システムの管理可能性は、これらの仮定の中でどれだけ観測可能であるかに依存する。暗号の世界は過去10年間、攻撃を難しくすることに多大な努力を注いできたが、「仮定が無効になったときにそれを発見できるようにする」ことにはほとんど投資していない。エントロピーの崩壊は、この空白の中で最初に十分に高価で、見逃せないサンプルである。

詐欺チェック（メカニズムを説明することは支持を意味しない。このセクションは必ず書く）

Coinkiteは設立から数年のカナダの会社で、創設者のNVKは実名で長期にわたり公開活動を行っており、製品はオープンソースで、公開コードリポジトリと再現可能な構築があり、今回の事故当日に認め、翌日には修正ファームウェアをリリースし、ファイルと行番号まで正確な技術的レビューを公開した。ここには逃げる、匿名のチーム、または悪意のあるバックドアの問題は存在しない——むしろ、業界で最も透明性の高いものであるがゆえに、この事故はすべての人が真剣に受け止めるべきものである：このようなエンジニアリングの実践が5年間も静かであった場合、オープンソースでなく、再現可能な構築を行わず、根本原因を公開しないメーカーは、状況がさらに悪化するだけであり、あなたは決して知ることができない。

読者に警告したいのは、事故の二次リスクです。あなたに連絡を取り、資産の検出や回収を手伝うと主張し、助記詞やウォレットファイルの提供を求める人は、すべて詐欺師です。この事故が生み出した最大の機会は、ブロックチェーン上にはなく、ソーシャルエンジニアリングにあります。

資産を預けるシステムに対する5つの質問

これは今号で本当に提供すべき内容です。命題を5つの質問に圧縮し、あなたが資産を預けるシステム、すなわちウォレット、ブリッジ、オラクル、カストディアン、ステーブルコイン、L2、マルチシグソリューションに持っていきます。

第一の質問：ランダム性はどこから来るのか？それが本当に呼び出された証拠はあるのか？

「ハードウェア乱数を使用するかどうか」を尋ねるのではなく、「ハードウェア乱数が呼び出されなかった場合、システムはどうなるのか？」と尋ねてください。正しい答えは一つだけです：コンパイル失敗または起動失敗です。「ソフトウェア実装に静かに戻る」設計は、5年後の朝を待っているだけです。判定基準：構築時または実行時のアサーションがあるかどうか、コメントや文書の約束だけではなく。

第二の質問：ソースコードが正しければ、コンパイルされたバイナリも正しいのか？

再現可能な構築は「誰もが同じものをコンパイルできる」ことを証明しますが、「コンパイルされたものが正しい」ことを証明するものではありません。今回の欠陥はまさにこの隙間に存在します。判定基準：再現可能な構築の他に、シンボリックレベルの検証があるかどうか、つまり重要な関数が最終的にどの実装に解決されたかを検証することです。特に、同じ関数シグネチャを共有する2つの実装には注意が必要です：これは監査の自然な盲点です。

第三の質問：本来動的に取得されるべき値がハードコーディングされていることはないか？

エントロピーソースは一つの種類であり、もう一つはハードコーディングされた定数です。前回の安定コイン事故で見た「オラクルが価格を$1.00にハードコーディングした」ことと、今回の「固定式の乱数に戻る」は同じ病です：外部の真の状態を反映するはずの量が、常に変わらない量に置き換えられ、システムはそれによってエラーを報告しません。判定基準：システム内の「変わるはずなのに、変わったのを見たことがない」値をすべて列挙し、一つ一つなぜそうなのかを尋ねます。

第四の質問：誰が署名できるのか？この集合は静かに変わったことがあるか？

署名者の集合、管理者権限、アップグレードキーなどの変更は、しばしばユーザーに見えるイベントを引き起こしません。7月の事故では、AFX Trade、Ostium、WEMIXがすべてこの層で倒れました。判定基準：変更にチェーン上のイベントがあるか、タイムロックがあるか、第三者が現在の集合を独立して検証できるかどうか。

第五の質問（メタ質問、最も重要）：この仮定が偽である場合、システムは私に知らせるのか？知らせない場合、それはどれくらいの間偽であったのか、私はそれを調べることができるのか？

前の4つの質問の答えをこのフィルターで再度確認します。観測可能なリスクはエンジニアリングの問題であり、観測できないリスクは存在の問題です。前者は監視と応答管理によって対処できますが、後者は設計段階で観測可能にする必要があります。事後には救済手段はありません。

このフレームワークの核心は視点の転換です：セキュリティ監査の問題を「コードに脆弱性があるかどうか」から「どの仮定が偽である場合、システムが警告しないか」に変えます。前者の問題には無限の答えがあり、永遠に調査しきれません；後者の問題の答えは通常10個を超えず、書き出した後は各項目をアサーションに変えることができます。

私が間違っている可能性

「実際には新しくない」論証

「弱い乱数が鍵を破る原因となる」は、暗号学のエンジニアリングの古典的な教材内容であり、DebianとMilk Sadはケーススタディに含まれています。今号がこの段階だけを扱っていたら、「私はすでに知っていた」テストで直接排除されるべきです。増分は3つあり、読者はこれに基づいて十分かどうかを判断できます：一つは不可観測性を独立した次元として扱うことです。これは「エラーが発生するかどうか」ではなく、「エラーが発生した場合に信号があるかどうか」であり、この次元は主流のセキュリティ議論では基本的に欠けています；二つ目は再現可能な構築の境界です。これは一貫性を証明しますが、正しさを証明するものではありません。同名の関数がシンボリックレベルの盲点を引き起こすため、これは多くのセキュリティ専門家が当然のこととして考えています；三つ目は、暴露期間と保有期間が正の相関関係にあるという反直感的な推論であり、これは「コールドストレージが長くなるほど安全である」という直感を直接覆します。これら3つをすでに考え抜いているなら、今号はあなたにとって無効です。

最強の代替パラダイム

おそらく、因果関係を逆に考えているのかもしれません：本当の教訓は「信頼仮定は観測できない」ということではなく、**「128ビットの安全性を単一の実装に賭けてはいけない」**ということです。この視点に立つと、答えは観測可能性ではなく冗長性です。2つの独立したソースのエントロピーをXORする、異なるメーカーのデバイスグループでマルチシグを使用する、内蔵のサイコロエントロピーを使用するなどです。将来の業界の解決策が主に冗長性に沿って進化するなら、私のこのフレームワークの重心は間違った場所に置かれています。これは私がこの命題を覆す最も可能性の高い道だと考えています。

3年後に振り返ったときの最も可能性の高い死因

AI支援の監査が2年以内にこの種の欠陥を大量に排除し、エントロピーの崩壊が歴史的な用語となり、「不可観測な信頼仮定」が自己消滅的な問題であることが証明される可能性があります。ツールの進歩がそれを観測可能に変えるからです。この確率は低くありません。私の弁護は、地雷排除の速度が向上する一方で、攻撃者のスキャン速度も同時に向上しており、彼らには開示義務がないということです。純粋な効果が良いのか悪いのか、今結論を出すのは早すぎます。

現在のデータが偽の繁栄である可能性

2つあります。一つは「観測された清掃がMk3の単一署名に集中している」ことで、これは攻撃者のコストの順序を反映している可能性が高く、Mk4/Mk5/Qの真の安全マージンを反映しているわけではありません。「新しいモデルは問題ない」という証拠として扱うのは危険です。もう一つは8860万ドルという数字自体で、これはすでに移動されたものだけを統計しており、すでに暴露されたものは含まれていません。coldcardentropy.orgに登録された6657のユニークソースアドレスと最終的な損失の差は、まだ収穫されていないストックを表しており、安全なストックではありません。

12ヶ月後に戻って確認

予測台帳に落ち込む。価格を予測するのではなく、構造的行動を予測します。

核心予測（12ヶ月）

今後12ヶ月以内に、業界は「エントロピーと鍵生成」の取り扱いに観測可能な構造的変化が現れるでしょう。少なくとも1つの主流ハードウェアウォレットメーカーが、構築時または実行時のエントロピーソースのアサーションを公開的に導入し（ハードウェアRNGの使用を約束するだけではなく）、少なくとも1件のAI支援監査によって発見された、3年以上潜伏していた暗号学的原理の欠陥が再び発生するでしょう（損失を引き起こしたかどうかは問わず）。同時に、2026年全体の重大な事故は、契約ロジック層ではなく、鍵/権限/生成層に主に集中するでしょう。

3ヶ月の観察指標（2026年11月まで）

Coldcard事件の最終的な損失が1400 BTCの規模で止まるのか、それともcoldcardentropy.orgに登録された6657のアドレスに拡大するのか。
Coinkiteと第三者がMk4/Mk5/Qの72ビット/32ビットの対立について公開的に対帳するか。
他のハードウェアウォレットメーカーが自己調査声明を発表するか、声明の中で「ハードウェアRNGを使用した」と言うのか、「構築時のアサーションを追加した」と言うのか。---表現の違いは今号のフレームワークの第一の質問です。
今回の事故の被害者に対する大規模なソーシャルエンジニアリング詐欺が発生するか。

6ヶ月の観察指標（2027年2月まで）

どのメーカーがエントロピーソースのアサーション、シンボリックレベルの検証を公開の構築プロセスや監査報告に書き込むか。
マルチシグソリューションの提供者が「署名者は異なるメーカー/異なるエントロピーソースから来るべきだ」と明確に要求し始めるか。
3年以上潜伏していたエントロピーまたは鍵生成の欠陥が再び発生するか。

12ヶ月の観察指標（2027年8月まで）

AI支援監査によって発見された歴史的欠陥の数が著しく増加し、開示者が研究者か攻撃者か先行するか。
事故統計における鍵/権限/生成層の割合が契約ロジック層を引き続き上回るか。
「エントロピーソースの検証可能性」に関する規制または業界標準の要求が現れるか。

反証条件（書き留めて、私は認めます）

今後12ヶ月以内に、主流メーカーの対応が「RNG実装の変更/コードレビューの強化」にとどまり、可公開の構築時または実行時のアサーションを導入するメーカーが一つもない場合→「観測可能性」が業界で実際に採用されていない解決策であることを示し、今号のフレームワークの重心が間違っていること、命題の実践的価値が過大評価されていることを示します。
今後12ヶ月の重大事故が契約ロジックの脆弱性に再び主に集中する場合（鍵と権限の層を超える割合）→ 7月のサンプルが短期的なノイズに過ぎないことを示し、「攻撃面の構造的移行」という判断方向が間違っていることを示します。
Mk4/Mk5/Qの論争が最終的に32ビットで大規模にスキャンされ、私が文中で72ビットの観点からその緊急性がMk3より低いと判断した場合→私は最も重要な実践的判断で誤りを犯したことになり、命題自体が成立しても、公開的に修正する必要があります。

免責事項

この記事は、いかなる資産価格も予測せず、いかなる投資または取引のアドバイスを構成するものではありません。文中で言及されている具体的なメーカーや製品は、技術メカニズムやリスク構造を説明するためのものであり、その商業的評価や推奨を示すものではなく、他の製品がより安全であると考えるものでもありません。文中の移行手順は公開情報の整理に過ぎず、個別の安全アドバイスを構成するものではありません。私鍵や助記詞に関する操作は、不可逆的な資産損失を引き起こす可能性があるため、メーカーの公式ガイドに従い、自ら決定責任を負ってください。誰かがあなたに助記詞、私鍵、パスフレーズ、またはウォレットのエクスポートファイルを要求する場合、それは詐欺です。

データと出所

すべてのデータは2026年8月に確認され、メーカーの自己報告と第三者の報道が分かれて示されています。

メーカーの自己報告（一次情報）

【要約（純文本，可能为空）】：

エントロピー問題に関する技術的深掘り、Coinkite公式ブログ --- random.c（libngu 22--31行）#ifndef MICROPY_HW_ENABLE_RNGガードが無効、マクロが0に定義、2021年3月libNgU移行導入、上流MicroPythonのフォールバックコードは2018年5月まで遡る、Mk2/Mk3は約40ビット、Mk4/Mk5/Qは約72ビット、2つのRNG実装の関数シグネチャは同じ、修正方法はフォールバックオブジェクトを除外 + ビルド時シンボルチェック： https://blog.coinkite.com/entropy-technical-backgrounder/
影響を受けたおよび修正バージョン：Mk2/Mk3 4.0.1--4.1.9（修正4.2.0）、Mk4/Mk5 < 5.6.0（Edge < 6.6.0X）、Q < 1.5.0Q（Edge < 6.6.0QX）；"ファームウェアのアップグレードは生成されたシードを変更または修正しない"：同上およびCoinkiteの発表、2026-07-31

第三者報道と証拠

COLDCARDエントロピー事件 --- アドレスチェックと証拠 --- 6つの証拠レベル、6,657のユニークなソースアドレス、最初の500件の取引594.47722484 BTC、ローカルブラウザクエリはアップロードしない、"ヒットしないことは安全とは限らない"： https://coldcardentropy.org/
5年前のColdcardバグがハッカーにビットコインウォレットキーを推測させた、Coinkiteが確認、Blockhead、2026-08-03 --- 8月2日現在約1,367 BTC / 約8,860万ドル / 4,500以上のアドレス、Galaxy Researchが追跡；第三者分析によるとMk4/Mk5/Qは最終シードに約32ビットしか入らない： https://www.blockhead.co/2026/08/03/coldcard-hardware-wallets-shipped-with-broken-randomness-for-five-years-coinkite-confirms/
CoinkiteがColdcardバグ後に修正ファームウェアをリリース；AIが侵害に関与している可能性、Bitcoin Magazine、2026-07-31 --- 修正ファームウェアバージョン、NVKのAI支援レビューに関する表現、24時間以内に7,000万ドル以上： https://bitcoinmagazine.com/business/coinkite-releases-fixed-firmware-after-coldcard-bug-ai-likely-involved-in-the-hack
Coldcardハードウェアウォレットの欠陥が41分で7000万ドルのビットコイン盗難に関連、The Hacker News、2026-08 --- 41分で1,196のアドレス： https://thehackernews.com/2026/08/coldcard-hardware-wallet-flaw-linked-to.html
COLDCARDの脆弱性：所有者が知っておくべきこと、Bitcoin Well --- 影響を受けるかどうかはシード生成時のファームウェアバージョンによる、シードのインポートと50回のサイコロエントロピーの例外、TAPSIGNER/OPENDIME/SATSCARDは影響を受けない、影響を受けたデバイスのみで構成されるマルチシグは依然として脆弱（第三者研究）、移行手順と"急いで移行するリスクが高まる"という警告： https://bitcoinwell.com/coldcard-vulnerability

歴史的先例

Debian Linuxのランダムナンバーバグ、Schneier on Security、2008-05 --- md_rand.cの2行MD_Updateが削除、/* purify complains */コメント、2006年9月に導入、2008年5月13日にLuciano Belloによって発見、唯一のランダムソースがプロセスIDに退化、Linuxのデフォルト上限32,768： https://www.schneier.com/blog/archives/2008/05/random_number_b.html
Milk Sadの完全開示（CVE-2023-39910）、milksad.info --- Libbitcoin Explorer 3.0.0--3.6.0、bx seedはメイソン回転 + 32ビットクロックシードを使用、2016-10にPR#559で導入、2017-03に3.0.0と共にリリース、2023年5月から利用され始め、2023年7月12日に約29.65 BTCが盗まれ、2023年7月21日に発見、2023年8月8日に開示、メインネット2600以上のウォレット、クロスチェーン損失は90万ドルを超え、6年間潜伏し、チェーン上に可視性なし： https://milksad.info/disclosure.html

トレンド証拠（2026年7月の同時期の事故）

2026年7月の暗号ハッキング：ウォレット、DeFi、ブリッジで約2億ドルが失われる --- 月間約2億ドル、34件；AFX Trade 2,415万ドル（バリデーターキー）、Ostium 1,800万ドル（オラクル署名者キー）、Triple-A 1,180万ドル（ホットウォレット）、WEMIX 625万ドル（オーナーキー）、Wanchain 1,000万ドル、Bonzo Lend 905万ドル、Verusブリッジ754万ドル： https://cryip.co/july-2026-crypto-hacks-nearly-200m-lost-wallets-defi-bridges/
Blockaid：2026年上半期の暗号プロジェクトの盗難が10億ドルを超える、Cryptotickerの週報による引用、2026-08： https://cryptoticker.io/en/crypto-news-today-weekly-wrap-august-2026/

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。