チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ハードウェアウォレットに入れておけば、ハッキングされても資産は安全じゃないの？」
「Coldcardって評判の良いウォレットなのに、なぜ被害が起きたの？」
ボスセキュリティ製品も実装ミスは起きる。今回は5年前に混入したファームウェアのバグが、今になって大規模流出を引き起こしたんだな
チップス5年前のバグでしゅか……ハードウェアウォレットって完全に安全だと思ってたでしゅ！
2026年7月30日、人気のBitcoinハードウェアウォレット「Coldcard」のファームウェアに存在した深刻なバグを突いた攻撃が始まり、わずか41分で1,196アドレスから大量のBitcoinが引き出されました。
その後も攻撃波が続き、Galaxy Researchの分析によると2026年8月2〜3日時点で4,585アドレスから計1,367BTC（約89億円相当）が流出しています。
この記事を読めば、Coldcard脆弱性の技術的な仕組みと、暗号資産保有者が今すぐ取るべき対応が分かります。
オススメ求人・フリーランス案件
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
Coldcardは長年、Bitcoin自己管理（セルフカストディ）向けのセキュリティが高いハードウェアウォレットとして評価されてきました。
しかし2026年7月30日、同製品のファームウェアに5年前から潜んでいた深刻な欠陥が悪用され、大規模な資産流出が発生しました。
チップス5年間も誰も気づかなかったんでしゅか？
ボスバグが静かに存在するだけでは被害は起きない。誰かが脆弱性を発見・解析し、攻撃ロジックを構築して実行に移したとき初めて被害が表面化する。今回はそのタイミングが2026年7月30日だったというわけだな
2021年3月にリリースされたColdcardファームウェア4.0.1に、実装ミスが混入していました。
本来、ウォレットのシードはSTM32マイコンのハードウェア乱数生成器（Hardware RNG）を使って生成すべきところ、誤ってソフトウェア擬似乱数生成器（Software PRNG）にルーティングされていました。このソフトウェアPRNGはデバイスのUID（固有識別子）とタイマー状態をシード値に使用しており、これらは非秘密の情報です。
つまり、デバイスに物理的にアクセスすることなく、候補シードをオフラインで計算によって再現することが理論上可能な状態でした。
影響を受けるバージョンは以下の通りです。
ボス重要なのは、このバグで生成されたシード自体が脆弱だということだ。ファームウェアを最新にアップデートしても、過去に生成したシードの秘密鍵はすでに再現可能な状態にある。資産の安全を確保するには、新しいシードを生成してBitcoinを移動させるしかないんだな
2026年7月30日の攻撃開始から3日間で被害が拡大した経緯は以下の通りです。
Coinkiteは7月31日に全影響モデルへの緊急パッチを配布し、影響を受けるバージョンのユーザーに対して資産の即時移動を強く警告しました。
現在Coldcardを保有するユーザーは以下を確認してください。
チップスウォレットのバージョン確認、今すぐやってみましゅ！
ボスそれが正しい行動だ。暗号資産は自己管理が強みだが、今回のように管理ツール自体の欠陥には自分で気づいて対処するしかない。ハードウェアウォレットを盲信しないことが、自己管理の鉄則なんだな
Coldcardの脆弱性は、2021年から5年間静かに潜んでいたファームウェア実装ミスが、2026年7月30日に大規模攻撃として表面化した事例です。
ハードウェアウォレットという「物理的に安全」と見られがちなデバイスにおいても、ソフトウェア実装の欠陥によって秘密鍵が再現可能になるリスクがあることを示しました。
今回の被害は最終的に4,585アドレスから1,367BTC（約89億円相当）に達しており、暗号資産の自己管理における最大リスクが「フィッシング・交換所ハック」だけでなく「ウォレット実装の欠陥」にも存在することを改めて提示しています。
ボス暗号資産の自己管理は「すべての責任が自分にある」ということだ。その前提で、使用するウォレットの実装の信頼性も定期的に確認する習慣を持つことが不可欠なんだな
チップスセキュリティ製品だからって安心しきってはいけないんでしゅね……しっかり確認しましゅ！
オススメ求人・フリーランス案件
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
