ハードウェアウォレット「Coldcard」に脆弱性 ビットコイン流出事件から考える、自己保管（セルフカストディ）とのつき合い方

結論から言うと、2026年7月30日ごろから、大手ハードウェアウォレット「Coldcard」の一部機種に存在していた乱数生成の不具合が悪用され、複数回にわたる攻撃で合計1,300BTC超（時価総額で約8,900万ドル、日本円換算でも100億円を優に超える規模）のビットコインが流出したと複数の海外・国内メディアが報じています。この記事では、報じられている事実関係を整理したうえで、「取引所に預けるより自分で管理（自己保管）した方が安全」という発想そのものを、資産形成の視点からどう見直せばよいかを考えます。

※ 本記事は2026年8月2日時点で報じられている内容をもとにした解説であり、特定の製品・サービスの利用や、仮想通貨の売買を推奨するものではありません。仮想通貨は価格変動が大きいうえ、ハッキングや操作ミスにより資産を失うリスクがあります。投資・保有は必ず余剰資金の範囲で行い、最終的な判断はご自身の責任でお願いします。

ニュースの要点整理 Coldcardの脆弱性でビットコインが流出

発端は2021年の乱数生成の不具合

報道によれば、今回の問題の根本原因は、Coldcardを開発する米Coinkite社が2021年3月に配布したファームウェアにさかのぼるとされています。本来は端末内蔵の専用ハードウェア乱数生成器（真の乱数を作る部品）を使って秘密鍵のもとになる乱数を生成する設計だったところ、一部の機種向けにはハードウェアを持たない基板用の「ソフトウェアによる代替の乱数生成」機能が誤って使われてしまっていたと伝えられています。ソフトウェアによる乱数は、専用ハードウェアによるものに比べて予測されやすく、結果として秘密鍵が第三者に推測されうる状態になっていた、というのが今回指摘されている脆弱性の中身です。

📰 出典：The Hacker News「Coldcard Hardware Wallet Flaw Linked to $70 Million Bitcoin Theft in 41 Minutes」

攻撃は7月30日に開始、複数回の波状攻撃に

この脆弱性が実際に悪用されたのは2026年7月30日（金）からとされています。海外メディアの報道では、攻撃者は残高の大きいウォレットから順に資金を抜き取ったとみられ、開始からわずか10分ほどで約3,000万ドル相当が流出、その後25分ほどの間に500件近いアドレスが被害に遭ったと伝えられています。日本語メディアでも「25分間で594BTC（当時のレートで60億円超）が流出した」と報じられました。

📰 出典：Forbes JAPAN「『25分間で594BTC』59億円超のビットコインが盗難、ハードウェア・ウォレットに大規模攻撃」

その後も攻撃は一度で終わらず、暗号資産の調査を手がけるGalaxy Researchなどの分析により、7月31日時点で被害額は約3,800万ドル相当まで拡大、さらに8月2日時点の報道では、被害を受けたアドレス数が4,500件を超え、流出したビットコインは合計で1,367BTC・時価およそ8,900万ドル相当（記事執筆時点のレートで日本円にして130億円前後）に達したと伝えられています。

📰 出典：CoinDesk「Bitcoin cold-wallet attack spreads to 4,500 addresses as losses near $89 million」

メーカーは修正ファームウェアを配布、ただし「後からの修復」はできない

Coinkite社は問題判明後、脆弱性を修正した新しいファームウェアを配布したと報じられています。ただし重要な点として、すでに脆弱なファームウェアの状態で生成されてしまった秘密鍵（シードフレーズ）そのものは、ファームウェアを更新しても安全にはならないとされています。報道によれば、対象となる可能性のある利用者は、新しいウォレット（新しいシードフレーズ）を作り直し、資金をそちらへ移す以外に根本的な対処法がないとされています。

📰 出典：CoinDesk「Coldcard’s $38 million so far exploit shakes faith in self-custody, may push investors to ETFs」

業界からは「自己保管への信頼」を問い直す声も

海外報道では、暗号資産取引所大手の創業者が「（自己保管を含め）100%安全なものなど存在しない」という趣旨のコメントを寄せたと伝えられているほか、今回の一件をきっかけに、自分で秘密鍵を管理する「自己保管（セルフカストディ）」への過信を見直し、規制された枠組みで運用される暗号資産ETFなど、第三者に管理を委ねる選択肢を再評価する投資家も出てくるのではないか、という論調の記事も見られました。

筆者の私見・考察 「自分で管理する＝絶対安全」ではない

ここからは筆者の私見です。仮想通貨の世界では、これまで「取引所はハッキングされるリスクがあるから、ハードウェアウォレットで自分で管理した方が安全」という考え方が、いわば “王道” のように語られてきたように思います。実際、秘密鍵をインターネットに接続されていない機器で保管する自己保管は、取引所が破綻・ハッキングされた場合の影響を受けにくいという意味では、有効な選択肢の一つであることに変わりはありません。

ただし今回の件は、その「自己保管なら安心」という前提自体が、あくまで「ハードウェアや設計に不具合がないこと」を暗黙の前提にしていたにすぎない、ということを浮き彫りにしたように感じます。ハードウェアウォレットも結局は人間が設計・製造する製品であり、ソフトウェア・ファームウェアにバグが混入する可能性はゼロではありません。今回のケースでは、2021年に配布されたファームウェアの不具合が5年近く気づかれなかったとされている点も、あくまで筆者の受け止めですが、「長く使われている製品だから安全」とも限らないことを示していると考えています。

とはいえ、今回の一件だけをもって「ハードウェアウォレットは危険だ」「取引所に預けた方が安全だ」と単純に結論づけるのも早計だと筆者は考えます。取引所への預け入れにも、運営会社の破綻・ハッキング・出金停止といった別種のリスクがあります（過去に本サイトでも取り上げた海外取引所の突然の閉鎖・撤退などがその一例です）。「自己保管」と「取引所への預け入れ」は、どちらが絶対的に優れているという単純な話ではなく、それぞれ異なる種類のリスクを抱えている、という理解の仕方が実態に近いのではないでしょうか。

資産形成への発展 「保管方法にもリスクがある」という視点を持つ

今回のニュースは、仮想通貨を保有・検討する読者にとって、次のような学びにつながります。

• 保管方法そのものにも固有のリスクがあると理解する：仮想通貨の主なリスクというと「価格変動」が真っ先に思い浮かびますが、それとは別に「どこに・どうやって保管するか」という保管方法自体にも、ハッキング・製品の不具合・操作ミスといった固有のリスクが存在します。
• 「一つの方法に全額を集中させない」という発想：株式や投資信託の世界で「特定の銘柄・資産クラスに集中投資しない」という分散の考え方があるのと同様に、仮想通貨についても、資産の保管場所を一つの手段（一つのハードウェアウォレット、あるいは一つの取引所）に集中させないという発想が、リスク管理の基本になり得ます。
• 金融庁登録の暗号資産交換業者を利用する：国内で仮想通貨を売買・保管する際は、必ず金融庁に登録された暗号資産交換業者を利用することが大原則です。登録業者であれば、利用者資産の分別管理などの利用者保護の枠組みが法律で定められています。
• 「新しい・話題の技術＝完成された安全な技術」ではない：ハードウェアウォレットに限らず、仮想通貨関連の技術は発展途上の部分が多く残っています。話題性や知名度だけで「安全性が確立された技術」と思い込まず、リスクが残っている前提で向き合う姿勢が大切です。

具体的なアクション・心構え 焦らず、長期目線で保管方法を点検する

• 保有している暗号資産の保管方法を、慌てず一度棚卸ししてみる：どの資産を、どの取引所・どのウォレットに、どれくらい置いているのかを整理してみることは、今回のような事件が起きたときに落ち着いて行動するための土台になります。
• ハードウェアウォレットを使っている場合はメーカーの公式発表を確認する習慣を：使用している機種・ファームウェアのバージョンについて、メーカーの公式サイトやSNSアカウントなど一次情報を確認し、修正ファームウェアの案内が出ていないか定期的にチェックする習慣が有効です。
• 大きな金額を一つの保管先に置きっぱなしにしない：余剰資金の範囲で保有するという大原則に加えて、保管先を複数に分けておくことも、今回のような個別の不具合・事件による影響を限定的にする一つの工夫です。
• 慌てて資金を移す際は、フィッシング詐欺にも注意する：今回のような騒動が起きると、「緊急の移行手続きはこちら」といった偽サイト・偽メッセージにつけ込まれる詐欺も起こりやすくなります。公式サイトのURLを直接確認するなど、焦っているときほど基本の確認を徹底しましょう。
• 仮想通貨全体への保有比率を見直すきっかけにする：今回のニュースを機に、そもそも自分の資産全体の中で仮想通貨がどの程度の比率を占めているのか、余剰資金の範囲に収まっているかを見直すことも、長期的な資産形成の観点からは有益です。

注意点・NG行動 事件のたびに陥りがちな落とし穴

• 「自己保管は絶対安全」「取引所は絶対危険」といった思い込みで断定すること：保管方法にはそれぞれ異なる種類のリスクがあり、どちらか一方を絶対視するのは実態に即していません。
• パニックになって未確認のリンク・ツールに秘密鍵やシードフレーズを入力すること：シードフレーズは誰にも、どんな状況でも伝えたり入力したりしてはいけない情報です。焦っているときほど、この基本を忘れないようにしましょう。
• 報道だけを見て、根拠なく特定の企業や製品を一方的に断罪すること：今回のメーカーも修正ファームウェアの配布など対応を進めていると報じられています。事実関係と、それに対する評価・私見は分けて受け止める姿勢を大切にしたいところです。
• 話題性だけで保有比率を急に増減させること：ニュースの見出しに動揺して急いで仮想通貨を手放したり、逆に「値下がりしたから買い増しだ」と飛びついたりする短期的な売買判断は、長期的な資産形成の方針とはずれてしまう可能性があります。

まとめ 保管方法にもリスクがあることを踏まえ、落ち着いて向き合う

今回のハードウェアウォレット「Coldcard」をめぐる一件は、2021年に配布されたファームウェアの乱数生成の不具合が原因とされ、2026年7月30日以降の複数回の攻撃で、報道時点までに合計1,300BTC超・時価約8,900万ドル相当のビットコインが流出したとされる出来事でした。メーカーは修正ファームウェアを配布したものの、すでに影響を受けた可能性のある秘密鍵は、利用者自身が新しいウォレットへ資金を移す以外に根本的な対処法がないとされています。

「自分で管理すれば絶対に安全」という思い込みを一度脇に置き、保管方法そのものにもリスクがあるという前提に立つことは、仮想通貨と長く付き合っていくうえで欠かせない視点だと筆者は考えます。仮想通貨は株式以上に値動きが大きく、詐欺やハッキングなどのトラブルも起こりやすいジャンルです。今回のようなニュースに接したときこそ、慌てず、余剰資金の範囲で、保管方法も含めたリスク管理を見直す機会にしていただければと思います。