チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ハードウェアウォレットに入れておけば、ハッキングされても資産は安全じゃないの？」
「Coldcardって評判の良いウォレットなのに、なぜ被害が起きたの？」
ボスセキュリティ製品も実装ミスは起きる。今回は5年前に混入したファームウェアのバグが、今になって大規模流出を引き起こしたんだな
チップス5年前のバグでしゅか……ハードウェアウォレットって完全に安全だと思ってたでしゅ！
2026年7月30日、人気のBitcoinハードウェアウォレット「Coldcard」のファームウェアに存在した深刻なバグを突いた攻撃が始まり、わずか41分で1,196アドレスから大量のBitcoinが引き出されました。
その後も攻撃波が続き、Galaxy Researchの分析によると2026年8月2〜3日時点で4,585アドレスから計1,367BTC（約89億円相当）が流出しています。
この記事を読めば、Coldcard脆弱性の技術的な仕組みと、暗号資産保有者が今すぐ取るべき対応が分かります。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
Coldcardは長年、Bitcoin自己管理（セルフカストディ）向けのセキュリティが高いハードウェアウォレットとして評価されてきました。
しかし2026年7月30日、同製品のファームウェアに5年前から潜んでいた深刻な欠陥が悪用され、大規模な資産流出が発生しました。
チップス5年間も誰も気づかなかったんでしゅか？
ボスバグが静かに存在するだけでは被害は起きない。誰かが脆弱性を発見・解析し、攻撃ロジックを構築して実行に移したとき初めて被害が表面化する。今回はそのタイミングが2026年7月30日だったというわけだな
2021年3月にリリースされたColdcardファームウェア4.0.1に、実装ミスが混入していました。
本来、ウォレットのシードはSTM32マイコンのハードウェア乱数生成器（Hardware RNG）を使って生成すべきところ、誤ってソフトウェア擬似乱数生成器（Software PRNG）にルーティングされていました。このソフトウェアPRNGはデバイスのUID（固有識別子）とタイマー状態をシード値に使用しており、これらは非秘密の情報です。
つまり、デバイスに物理的にアクセスすることなく、候補シードをオフラインで計算によって再現することが理論上可能な状態でした。
影響を受けるバージョンは以下の通りです。
ボス重要なのは、このバグで生成されたシード自体が脆弱だということだ。ファームウェアを最新にアップデートしても、過去に生成したシードの秘密鍵はすでに再現可能な状態にある。資産の安全を確保するには、新しいシードを生成してBitcoinを移動させるしかないんだな
2026年7月30日の攻撃開始から3日間で被害が拡大した経緯は以下の通りです。
Coinkiteは7月31日に全影響モデルへの緊急パッチを配布し、影響を受けるバージョンのユーザーに対して資産の即時移動を強く警告しました。
現在Coldcardを保有するユーザーは以下を確認してください。
チップスウォレットのバージョン確認、今すぐやってみましゅ！
ボスそれが正しい行動だ。暗号資産は自己管理が強みだが、今回のように管理ツール自体の欠陥には自分で気づいて対処するしかない。ハードウェアウォレットを盲信しないことが、自己管理の鉄則なんだな
Coldcardの脆弱性は、2021年から5年間静かに潜んでいたファームウェア実装ミスが、2026年7月30日に大規模攻撃として表面化した事例です。
ハードウェアウォレットという「物理的に安全」と見られがちなデバイスにおいても、ソフトウェア実装の欠陥によって秘密鍵が再現可能になるリスクがあることを示しました。
今回の被害は最終的に4,585アドレスから1,367BTC（約89億円相当）に達しており、暗号資産の自己管理における最大リスクが「フィッシング・交換所ハック」だけでなく「ウォレット実装の欠陥」にも存在することを改めて提示しています。
ボス暗号資産の自己管理は「すべての責任が自分にある」ということだ。その前提で、使用するウォレットの実装の信頼性も定期的に確認する習慣を持つことが不可欠なんだな
チップスセキュリティ製品だからって安心しきってはいけないんでしゅね……しっかり確認しましゅ！
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
