「ハードウェアウォレットを使っていれば、仮想通貨は安全だと思ってた…」
「ネットに繋がってない機器なのに、なんでハッキング被害に遭うの?」
結論から言うと、2026年7月30日〜8月上旬にかけて、人気のビットコイン用ハードウェアウォレット「COLDCARD」の一部機種・ファームウェアに、ウォレットの「種（シード）」を作る際の乱数（ランダムな数字）が実は予測可能だったという脆弱性が発覚し、複数波にわたる攻撃で数百〜千枚超のビットコインが流出しました。この記事では、この出来事を題材に、「オフライン機器＝絶対安全」という思い込みのリスク、自分で資産を管理する「自己管理（セルフカストディ）」と取引所に預ける「取引所管理」それぞれの注意点、そして初心者が仮想通貨と付き合ううえで持っておきたい心構えを整理します。
※ 本記事は2026年8月執筆時点の情報をもとにした一般的な解説であり、特定の暗号資産・機器・サービスの購入や利用を推奨するものではありません。仮想通貨は価格変動が非常に大きく、ハッキングや詐欺による資産消失のリスクも伴います。投資・保有は自己責任で、余剰資金の範囲で行ってください。
ニュースの要点整理 COLDCARDの脆弱性でビットコインが流出
何が起きたのか
📰 出典：GIGAZINE「ハードウェアウォレット『COLDCARD』の脆弱性悪用による3波の攻撃で合計140億円相当のビットコインが盗まれる」
カナダのCoinkite社が開発・販売する人気のビットコイン専用ハードウェアウォレット「COLDCARD」において、ウォレットの秘密鍵のもとになる「シードフレーズ」を生成する際の乱数生成処理に不具合があったことが2026年7月30日前後に公表されました。報道によれば、本来は端末内蔵のチップで真の乱数を生成する設計だったところ、製造時の設定ミスにより、予測性の高いソフトウェア由来の乱数（フォールバック処理）が使われる状態になっていたとされています。
📰 出典：財経新聞「Coldcardの乱数生成に5年間の欠陥、約60億円相当のBitcoinが流出」
財経新聞などの報道では、この不具合は2021年3月ごろから約5年間にわたり存在していたとされ、当初確認された被害だけでも約500件のアドレスから594BTC（報道時点でおよそ60億円相当）が、わずか25分ほどの間に流出したと伝えられています。
被害は複数波に拡大
📰 出典：Yahoo!ニュース（NADA NEWS配信）「ハードウェアウォレット『Coldcard』の脆弱性、流出140億円超に拡大──第3波で攻撃手法も変化」
その後の報道によると、脆弱性の情報が広まるにつれて攻撃の手口も変化しながら第2波・第3波と続き、分析会社の推計では合計で1,000BTCを超える規模（1,300枚台・約4,500件を超えるアドレスという報道もあり）、金額にして140億円前後にまで被害が拡大したとされています。攻撃者は、脆弱な乱数から生成されたシードの候補をコンピューターで総当たり的に探索し、該当するウォレットの資金を先回りして自分のアドレスへ移す、という手口を取ったと報じられています。
対象となった機種・ファームウェア
📰 出典：Forbes JAPAN「『25分間で594BTC』59億円超のビットコインが盗難、ハードウェア・ウォレットに大規模攻撃」
報道をまとめると、影響を受けたのは主に旧世代の「Mk2」「Mk3」の一部ファームウェアで生成されたシードで、新しい機種「Mk4」「Mk5」「Q」についても、修正済みバージョンより前のファームウェアで生成したシードは同様のリスクがあったとされています。なお、サイコロ（ダイス）を使って利用者自身が独立した乱数を追加していたシードは、この不具合単体では影響を受けにくいとする案内もメーカーから出されています。
メーカーの対応
Coinkite社は脆弱性の公表後、対象製品の出荷を即座に停止し、在庫の廃棄を発表したと報じられています。あわせて、影響を受けるバージョンごとの修正版ファームウェア（Mk2・Mk3向け、Mk4・Mk5向け、Q向けなど）を公開し、対象ユーザーに対して「ファームウェアを更新したうえで、新しいシードを生成し直し、資金を安全なウォレットへ移すこと」を呼びかけています。同社の最高経営責任者は7月31日ごろに公に謝罪したとも伝えられています。
筆者の私見・考察 「オフライン＝絶対安全」ではないという教訓
ここからは、あくまで筆者個人の見方・考察です。
今回の出来事で筆者が特に重要だと感じたのは、「ハードウェアウォレット（コールドウォレット）だから安全」という理解だけでは不十分だったという点です。ハードウェアウォレットは、秘密鍵をインターネットに接続しない環境で保管できることから、常時オンラインの取引所口座や「ホットウォレット」に比べてハッキングのリスクが低いとされてきました。しかし今回のケースは、ネットワーク経由の侵入ではなく、そもそも鍵の「生成過程」に欠陥があったという点で、多くの人が想定していなかった種類のリスクだったといえます。
もう一つ筆者が注目したいのは、この不具合が約5年間見過ごされてきたと報じられている点です。オープンソースであっても、あるいは長年販売されてきた実績のある製品であっても、内部の実装まで利用者側で検証するのは現実的に難しく、「発売から時間が経っている＝安全性が確立されている」と単純に考えるのは早計だったのではないか、というのが筆者の見立てです。もちろん、メーカーが不具合を公表し、修正ファームウェアや在庫廃棄といった対応を取ったこと自体は、情報開示の姿勢として評価できる部分もあると筆者は考えます。
資産形成への発展 「保管方法」もリスク管理の一部と捉える
仮想通貨の話題というと値動きにばかり目が行きがちですが、今回のニュースは「どこに・どうやって資産を保管するか」自体が重要なリスク管理の一部であることを教えてくれます。
- 「コールド＝安全」「ホット＝危険」という単純な二分法にしない：保管方法にはそれぞれ異なる種類のリスク（ハッキング、紛失、鍵生成の不具合、取引所の破綻など）があり、「絶対に安全な方法」は存在しないという前提で考える
- 1つの保管方法・1つの機器に資産を集中させすぎない：ハードウェアウォレット、金融庁登録の取引所、複数の機器・サービスに分散することで、1つの不具合や事故が資産全体に及ぶリスクを抑えられる
- 公式情報・セキュリティ情報を定期的に確認する習慣を持つ：メーカーや取引所からのセキュリティアドバイザリー（注意喚起）は、日頃からチェックする対象に含めておく
- 保有額が大きくなるほど、保管方法の見直しにも時間をかける：少額のうちは大きな問題にならなくても、金額が増えるにつれて保管方法の欠陥がもたらす影響も大きくなる
これらは特定の機器・サービスの利用を勧める趣旨ではなく、仮想通貨を保有・保管するうえで一般的に意識しておきたい視点です。
具体的なアクション・心構え 慌てず、しかし放置しない
今回のようなニュースに接したとき、初心者の方におすすめしたい心構えは次の3点です。
- 自分が使っている機器・サービスが対象かどうかを、公式情報でまず確認する：SNS上の断片的な情報だけで判断せず、メーカーや取引所の公式発表・公式サイトを確認する習慣をつけましょう
- 対象に該当する場合は、慌てずに手順を確認してから対応する：焦って操作をすると、かえって送金ミスや詐欺被害につながりかねません。公式の案内に沿って落ち着いて対応することが大切です
- 保有額・利用目的に応じて保管方法を分散する：日常的に取引する分は金融庁登録の暗号資産交換業者の口座に、長期保有分は複数の保管手段に分けるなど、「1つの方法に依存しない」設計を心がけましょう
いずれも、短期的な値動きへの対応ではなく、長期的に資産を守るための心構えとして意識してほしいポイントです。
注意点・NG行動 やってはいけない反応の仕方
- 脆弱性のニュースに便乗した詐欺・偽サポートに注意する：「あなたのウォレットも危険です、こちらで資産を移行します」といった不審な連絡・偽サイトへの誘導が増えることがあります。公式サイトのURLを自分で確認し、リンクを不用意にクリックしない
- 焦って複数の操作を一度に行わない：シードの再生成や資金移動は、公式の手順を確認しながら1つずつ落ち着いて進めましょう
- 「もうハードウェアウォレットは危険だから全部取引所に置けばいい」と極端に考えない：取引所への集中保管には、取引所自体の破綻やハッキングといった別のリスクがあります。一方の手段を全否定するのではなく、複数の手段を組み合わせる発想が大切です
- 「絶対安全な保管方法がある」という宣伝文句を鵜呑みにしない：どんな保管方法にも何らかのリスクが伴うという前提を忘れないようにしましょう
よくある疑問
自分の使っている機器が対象か分からないときは、どうすればいい?
まずはメーカー（Coinkite社）の公式サイト・公式ブログでの発表内容を確認し、自分の機種・ファームウェアのバージョンが対象に含まれるかどうかを確かめることが基本です。判断に迷う場合や、資産規模が大きい場合は、専門知識を持つ第三者（信頼できる技術者やコミュニティの公式情報）に相談することも選択肢です。本記事は特定の対応手順を推奨するものではなく、一般的な考え方の紹介にとどまります。
ハードウェアウォレットを使うのはもうやめたほうがいい?
一概にはいえません。ハードウェアウォレット自体が「危険な仕組み」というより、今回は特定製品における実装上の不具合が問題だったと報じられています。大切なのは、特定の機器・方法に絶対的な安全性を期待するのではなく、保管方法を分散し、公式情報を継続的に確認する姿勢を持つことだと筆者は考えます。
そもそも仮想通貨をどこに保管するか迷っています。何を基準に考えればいい?
一般的には、日常的に売買する分は金融庁登録の暗号資産交換業者の口座で管理し、長期保有を考える分については保管方法を複数に分ける、という考え方が紹介されることが多いです。いずれの方法にも、価格変動リスクに加えてハッキング・詐欺・不具合といったリスクが伴うため、余剰資金の範囲で、失っても生活に大きな影響が出ない金額にとどめることが大原則です。
まとめ 保管方法にも「絶対安全」はないという前提で向き合う
今回のCOLDCARDをめぐるニュースは、ハードウェアウォレットという一見安全性の高い保管手段であっても、製品の実装上の不具合によって資産流出につながりうることを示しました。仮想通貨は価格変動そのものに加えて、ハッキング・詐欺・保管方法の不具合など、株式以上に多様なリスクを抱えるハイリスクな資産である点を、あらためて意識しておきたいところです。
保有・保管方法に「絶対安全」はないという前提のもと、公式情報をこまめに確認し、保管方法を分散し、余剰資金の範囲で向き合う姿勢が、初心者にとっての基本的な自衛策になります。焦って行動する前に、公式情報の確認と落ち着いた判断を心がけましょう。
