Coldcardの脆弱性により8900万ドルが盗難、FTX破綻以来最大のオンチェーン移転の波

原文作者：Oluwapelumi Adejumo

原文编译：Saoirse，Foresight News

Coldcardウォレット危機がビットコイン市場のセンチメントを大きく悪化させ、オンチェーンの各種参考指標を混乱させるとともに、AI支援によるネットワーク防御体制に長年存在する弱点を露呈させた。

7月30日、ハードウェアメーカーのCoinkiteはユーザーに対し、特定バージョンのColdcardファームウェアの影響で生成されたウォレットに資産盗難のリスクがあると警告を発した。原因はソフトウェアの不具合により、シードフレーズのランダム生成度が設計基準をはるかに下回っていたことにある。

Galaxy Researchによると、今回のセキュリティインシデントでは合わせて3波の攻撃が発生し、合計4585のアドレスが標的型侵害を受け、盗まれたビットコインは1367.05BTC、価値にして約8900万ドルに上る。

Coldcardビットコインウォレットハッキング事件（出典：Galaxy Research）

Galaxyのグローバルリサーチ責任者であるAlex Thorn氏は、3波の攻撃で盗まれたビットコインは依然として攻撃者が管理するアドレスに残存していると述べた。ただし、一部の散発的な小口の盗難資金は、すでにピールチェーン（peel chains）、クロスチェーンサービス、海外カジノなどを通じて洗浄されていると付け加えた。

Coldcardウォレット移行がビットコインの弱気シグナルを撹乱

セキュリティリスクが拡大を続ける中、流出リスクのあるユーザーは先を争ってビットコインを移転し、ハッカーによる資産窃取を回避しようとしている。Coinkiteは影響を受けるモデル向けに修正版ファームウェアを配信したものの、既に生成された高リスクのシードフレーズはシステムアップデートでは修復できず、ユーザーは新しいウォレットを作成し、資産を安全なアドレスへ移すしかない。

この大規模なウォレット移行により、少額保有者や長期休眠中のビットコインのオンチェーン活動が異常な急増を見せた。CryptoQuantのリサーチ責任者であるJulio Moreno氏によると、7月31日には、1回の取引で1BTC未満を産出する取引の総規模が39600BTCに達した。これは2022年11月のFTX破綻以来、このカテゴリーの取引としては単日で最高値となる。当時FTX暴落直後には、同種取引の流通量は39900BTCだった。

ビットコインの毎日のアクティブアドレス数も、7月30日の約64万5000件から翌日には約100万件へと急増し、2024年12月10日以来のピークを記録した。Moreno氏は、アドレス数の急増は主に送金元アドレスに集中しており、受け取りアドレスの伸びは限定的であることから、ユーザーがリスク回避のために元のウォレットから資金を送金していることが分かると述べた。

ビットコインの毎日のアクティブアドレス（データ出典：CryptoQuant）

1回あたりの送金が10BTC未満の取引所への入金量は7300BTCまで増加し、当年2月6日以来の高水準を記録した。一部のユーザーは新しい安全なウォレットを作成する移行期間中、一時的に資産を取引所に預けた。もちろん、この資金フローには投資家が売却・現金化を目的としたポジションも含まれている。

Coldcard事件後のビットコイン取引所預入の急増（出典：CryptoQuant）

CryptoQuantのアナリストであるJA Maartunn氏はさらに、脆弱性の公表後、すでに77402BTCの長期未使用ビットコインが送金されたと補足した。ただしMaartunn氏は、今回の大規模な資金移動を多くの投資家がパニック売りをした証拠と見なすべきではないと注意を促す。イベントの背景を考慮すると、資金移動の本質はユーザーがウォレットのセキュリティを強化するためのものである。

同氏は次のように述べている。「Coldcardのシードフレーズ問題により、ユーザーは資産の安全を確保するために長期保有していたビットコインを移転した。これは長期保有者の供給量変化、コイン・デストロイ（Coin Days Destroyed）、消費出力サイクル分布など、各種チャートデータの正確性を妨げることになる。」

オンチェーン取引の活発化に伴い、市場全体のセンチメントは急速に悪化した。ブロックチェーン分析機関のSantimentは、ビットコインの強気コメントと弱気コメントの比率が、プラットフォームが近代的なソーシャルデータトラッキングを開始して以来の最低水準に落ち込んだと指摘した。Xプラットフォーム、Reddit、Telegramなどでは、弱気コメント1件に対して強気コメントはわずか0.58件となっている。

ビットコイン市場センチメントが弱気に転じる（出典：Santiment）

Santimentは、市場の反応がこれほど激しいのは、今回の脆弱性攻撃の対象がコールドストレージウォレットだからだと分析する。多くの保有者はコールドウォレットを、取引所から資金を引き出し、高リスクの暗号資産プラットフォームから離れた後のビットコイン資産の最後の安全線と見なしている。

米国のAI規制ルールがColdcard事件の追跡を困難に

ビットコインの市場シグナルを混乱させたこのウォレット送金は、資金が換金・引き出し可能なプラットフォームに流入する前に、不正資金の追跡を緊急に行うことをもたらした。

Galaxy Researchは被害者から報告された情報をまとめ、ハッカーと疑われるアドレスのリストを作成し、法執行機関、コンプライアンス機関、その他のサイバーセキュリティ調査関係者に資料を共有した。Thorn氏は、盗まれたビットコインが保管されているとみられる約600のハッカーアドレスを当局に報告したと明らかにした。

しかし同氏は、米国の主要な大手大規模言語モデルに設定されたセーフティガードが、盗難資産の追跡とユーザー保護の作業を制限しているため、調査チームは中国のオープンソースAIモデルに切り替えざるを得なかったと述べた。Thorn氏は、具体的にどの米国AIモデルがどのようなクエリでブロックされたのか、また代替モデルが調査にどのように貢献したのかについて詳細には言及しなかった。それでも、同氏が提示したこの課題は、Hugging Faceが以前サイバー攻撃を受けた際に直面した問題と非常に類似している。

このAIプラットフォームは、自動化プログラムがそのインフラの一部に侵入し、セキュリティチームが17000以上のイベントログを分析する必要があったと述べている。当初、調査担当者は商用APIを通じて主要な最先端大規模言語モデルを呼び出し、攻撃コマンド、エクスプロイトペイロード、C2（コマンド＆コントロール）関連のログを分析用にアップロードした。

Hugging Faceによると、これらのクエリはすべてシステムによってブロックされた。AIセキュリティシステムが、緊急対応を実施する調査担当者と実際の攻撃者を区別できなかったためだ。最終的にチームは、Zhipu AI（智譜AI）が自社開発したオープンソースウェイトモデルであるGLM 5.2を選択し、自社サーバー上で全てのフォレンジック分析を完了させた。

このモデルは、スタッフが完全な攻撃タイムラインを整理し、漏洩した認証情報を特定し、侵入の特徴を抽出し、実際の攻撃痕跡と囮（デコイ）による撹乱行為を区別するのに貢献した。Hugging Faceは、従来数日を要していたフォレンジック作業が、AI支援により数時間に短縮されたと述べている。

この事例は、Thorn氏が語ったColdcard事件に存在する攻防におけるAI非対称性の問題を裏付けている。ハッカーは商用モデルのセキュリティルールに制約されない、無制限で自己改変可能なAIツールを使用できる一方、防御側は悪性の特性を持つ資料を事件調査のために提出する際、たとえ深刻なセキュリティインシデントを封じ込めることを目的としていても、AIに拒否されることがよくある。

しかし、AIのセキュリティ制限を広範囲に撤廃すれば、新たなリスクが生じることになる。AIサービスプロバイダーは、ユーザーが口頭で盗まれたコインの追跡を主張するだけでアクセス権限を解放することはできない。このような無制限のツールは、ウォレット攻撃、マネーロンダリング、取引規制の回避などの違法活動にも悪用され得るからだ。

暗号資産分野では、この矛盾は特に深刻である。盗まれた資産は数分のうちにクロスチェーンブリッジ、取引所、ギャンブルプラットフォームを通じて移動できるからだ。追跡に遅延が生じれば、被害者が被害届の受理票を受け取り、調査担当者が手作業によるトレーシングを完了する前に、資金は自由に引き出せるプラットフォームに移され、凍結の機会を完全に失ってしまう。