JANUSZ KRYPTONの暗号通貨界に恐怖が訪れる。Coldcardが「ハッキング」された - LedgerとTrezorは安全か？

By: rootdata|2026/08/06 04:00:00

暗号通貨の世界では、「あなたの鍵でなければ、あなたのコインではない」と言います。だからこそ、私たちはハードウェアウォレット、いわゆる「コールドセーフ」を購入し、安心して眠れると思っています。しかし、突然、2026年8月の初めに、Coldcardというセキュリティのアイコン、ビットコインの「マキシマリスト」向けのウォレットが「ハッキング攻撃」の犠牲になったというニュースが市場を揺るがしました。何が起こったのでしょうか？LedgerとTrezorも危険にさらされているのでしょうか？私は専門家に尋ねました。
写真提供: Everett Collection / / Shutterstock

多くの人がパニックに陥りました。電話が鳴りっぱなしでした。「Janusz、どうすればいいの？私のLedgerがハッキングされるの？Trezorは安全なの？どう生きればいいの？」落ち着いてください。私たちは教育の灯をともします。何が起こったのかを正確に説明するために、FUDを撒き散らすのではなく、サイバーセキュリティの専門家であり、私たちの専門家委員会のメンバーであるŁukasz Mikułaに連絡を取りました。Łukaszは技術的な詳細を分析し、私に詳細なメールで返信しました。

今日は、彼からの情報と最新のメディア報道に基づいて、Coldcardのスキャンダルを徹底的に分析します。

現在の状況（2026年8月5日）：Coldcardのエラーに関連する損失は、7700以上のアドレスから130百万ドル（2000 BTC以上）に達する可能性があります。カウントはまだ増えています。

何が起こったのか？「ハック」の解剖、しかしそれはハックではなかった

最も重要なことから始めましょう：誰もビットコインの暗号を破ったわけではありません。誰も物理的にデバイスに侵入したわけではありません。問題ははるかに狡猾で、あなたが... ウォレットを設定する瞬間に関係しています。

Łukasz Mikułaは、私へのメールでこの現象を2つの簡単な文で説明しました。

簡単に言うと、Coldcardでウォレットを設定する際に、ランダムな秘密鍵が生成されるのではなく、そのウォレットが生成する可能性のある鍵を推測できてしまったということです。そして誰かがスクリプトを実行し、Coldcardの顧客が持っていたのと同じウォレットを生成したのです...

これが簡潔な説明です。出来事をより詳しく説明するためには、少し深く掘り下げる必要があります。あなたの秘密鍵（私たちのシリーズのレッスン2を参照）は、実際には非常に大きな数です。Łukaszは、これは10進法で78桁にも及び、比較のために地球上のすべての原子の数は「たったの」10⁵⁰であると指摘しています。これは、誰もが偶然にあなたと同じ鍵を生成することはないことを保証する天文学的な値です。

アイデアは、私だけが自分の秘密の大きな数を知っている限り、それが予測不可能で非常に複雑なパスワードのように機能するということです。そしてそれは大丈夫です - Łukaszは書いています - 問題は、その数がどこから来るのかということです。ハードウェアウォレットを設定する際、デバイスはランダム数生成器（RNG）を使用してこの鍵を生成します（12または24のシードワードで表されます）。

そしてここでColdcardの悲劇に至ります。BlockのBitcoin Engineering and Securityチームの分析によると、問題はソフトウェア（ファームウェア）にあり、特定の状況下で適切なハードウェアの乱数生成器を無視し、劣悪な通常のソフトウェアの代替品に切り替わってしまったのです。

プログラミングには、常にランダムであることを保証するための既製のコンポーネントがありますが、ColdCardの場合、そのコンポーネントは無効になっていました。なぜそうなったのかは不明です - 単にウォレットのソフトウェアコードのある部分で、乱数モジュールに「0」という値が割り当てられていたため、無効になっていたのです。これは、開発チーム内のコミュニケーション不足の結果かもしれませんし、他の何かかもしれません。そして、最も驚くべきことは、デバイスには適切な乱数生成器が搭載されていたのに、単にそれを使用していなかったということです - Łukasz Mikułaは説明しています。

スケジュール？「CryptoSlate」のジャーナリストたちは「ランダム性の崩壊」について書いています。想像を絶する数の組み合わせの代わりに、可能なウォレットのプールは非常に縮小され、ハッカーは普通のコンピュータースクリプトを使って、顧客のものに当たるまで一つ一つチェックすることができました。これはあなたの引き出しの中のデバイスへの攻撃ではなく、あなたのウォレットの誕生プロセスそのものへの攻撃でした。

誰が背後にいるのか、ハッカーの落書き

オンチェーンでは何も隠せません。Galaxy Researchの研究者たちは攻撃者に属するアドレスを特定しました。興味深いことに、この事件は奇妙な展開を見せています。CoinDeskによると、ハッカーのウォレットには盗まれたBTCがあり、公共の掲示板となっています。人々はOP_RETURN機能（ビットコインのトランザクションに短いテキストを追加することを許可する）を使って、ハッカーにメッセージ付きの小額の送金をしています。

ある人々は懇願します：「あなたは盗みました、どうか少しでも返してください」。

他の人々はより厳しい交渉を行います：「私の5BTCの80%を返してください」。

また、ハッカーに10%の手数料でマネーロンダリングサービスを提供する機会主義者もいます。

狂気。

Coldcardの顧客でしたか？緊急です、行動を！

Coinkite（Coldcardの製造元）は緊急の声明を発表しました。Mk2またはMk3モデル、または古いソフトウェアを搭載したMk4、Q、Mk5を使用していた場合、あなたは危険にさらされています。ここに重要な指示があります。注意してください、多くの人がここで間違いを犯します：

ソフトウェアの更新だけでは不十分です - Łukasz Mikułaは警告します - 更新は必要ですが、それは将来の穴を修正するものであり、すでに危険にさらされている可能性のあるキーを変更するものではありません。したがって、新しいウォレットを作成し、新しいシードフレーズを生成し、古いウォレットで他のハードウェアウォレットにログインするのではなく、そこに資金を移動させる必要があります。

インターネット上にはこの状況の素晴らしい要約が流れています：どんな安全な保管も、最初にパスワードが弱かった場合には問題を修正できません。たとえその12または24の単語を書いた紙を地下のチタン製の金庫に保管していても、それらの単語がコンピュータで簡単に推測できるものであれば、ハッカーはそれでもお金を盗むことができました。

LedgerとTrezorも破綻するのか？どう生きるべきか？

これは重要な質問です。Coldcardの事件は、ハードウェアウォレット全体の業界に対する終末の前触れとなるのでしょうか？CoinDeskはLedgerの専門家Vincent Bouzonを引用し、彼は落ち着かせようとしています。「これは一つの実装の失敗であり、セルフカストディに関する判決ではありません」。

Bouzonは、代替手段はさらに悪いと付け加えます - ソフトウェアウォレットはさらにリスクが高く、取引所は真の所有権ではなく、単なる債務の領収書です。

私たちの専門家、Łukasz Mikułaに「LedgerとTrezorは耐性がありますか？」と直接尋ねたところ、彼はこう答えました：

難しい質問です - 職業的な好奇心が私に「何かが安全である」と言わせることはできません、コードを一瞥することなしには...実際、私たちの初期の会話の一つで、暗号通貨の保管に理想的な場所はないと述べましたし、それぞれには利点と欠点があり、私はその立場を維持しています。

Łukaszは根本的な問題を指摘します：彼はコードの監査を行うことができず、特にコードがオープンでない場合、Ledgerのような重要な側面でそうです。彼は「楽観的に仮定する」ことしかできませんが、名の知れたブランドがこの教訓から学ぶことを期待しています。しかし、Łukaszの最も重要な結論は考えさせられます：

今、ハードウェアウォレットに対する攻撃の波を期待することはないと思いますが、特に優れた技術的バックグラウンドを持つ組織的なグループが、今後この種のソリューションを監視することは確かです。したがって、ウォレットの製造業者には責任ある課題が待ち受けています。

この一連の事件からの教訓は簡単で不快です：暗号通貨の世界では「あなたの鍵でなければ、あなたのコインではない」という言葉が新たな意味を持ちます。今日では、鍵を持っている人だけでなく、それをどのようにあなたのために作ったかも重要です。

私の日記のすべての記録はここにあります。私のFacebookにもぜひ訪れてください。メールはjanusz.krypto@bankier.plまでお送りください。

--価格

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。