ColdcardのXアカウントが乗っ取られ、Bitcoin(BTC)ファームウェアの偽警報を投稿

更新 05:48 UTC：日曜日の事故を巡る市場環境も明らかになってきた。

Coldcardの公式Xがフィッシング投稿に悪用

Bitcoin (BTC)ハードウェアウォレットメーカーのColdcardは、公式Xアカウントが2026年10月11日(日)に第三者に乗っ取られ、ブランド名を騙るフィッシング投稿が配信されたと明らかにした。投稿はMk4、Mk5、Qの各デバイスに重大なファームウェア脆弱性があると主張し、偽ページへ誘導するリンクを使って資産を直ちに移すよう利用者を急かす内容だった。投稿はその後削除され、同社は内部調査を開始している。Coldcardの声明によると、当該アカウントは2017年以降オフラインの二要素認証で運用され、アクセスも厳しく制限されていたが、侵害の可能性を完全には排除できないという。同社はcoldcard.comが唯一の公式サイトであることを改めて確認し、拡散されたリンクにアクセスしたり操作したりしないよう保有者に警告した。Xのサポートへの連絡、全アクセス権限の見直しを進めており、調査の結論が出次第結果を公表するとしている。同社は自社システムへの不正侵入の痕跡は確認されていないと報告し、投稿はソーシャルネットワーク側での不正アクセスか、プラットフォームの管理パネル経由でのみ配信され得たとの見解を示した。この手口の狙いは取引所の残高ではなくデバイス利用者のコールドウォレットの資産にあり、Bitcoinの価格そのものが標的ではなかった。偽ページはリカバリー用の認証情報を収集するために作られていた。侵害されたアカウント@coldcardwalletは長年にわたりブランドの主要な公式発信窓口であり、一つの偽投稿がこれほど危険になり得たのはまさにそのためだ。

経時情報と新たなコミュニティでの反発も明らかになった。フィッシング投稿は日曜日の2:00(UTC)頃に配信され、Coldcardは約5時間46分後の5:46(UTC)頃に公にこれを認め、アカウントがなぜリンクを投稿したのか調査中であることを明らかにするとともに、当該投稿が削除済みであることを確認した。その約20分後、同社はXのサポートに緊急調査を要請し、内部確認の結果、当該アカウントに対応するログイン、セッション、アクセス記録が見当たらないと述べた。日曜日のフィッシング攻撃による確認済みの金銭的損失はこれまで報告されていない。この事故を受けて、10月9日にColdcardの耐タンパー性のある透明ケースを宣伝した投稿への批判も再燃し、7月のソフトウェア欠陥を踏まえ味気ないとコミュニティメンバーは指摘。一部の顧客は、同社と共同創業者のRodolfo NovakがX上で批判者や被害者を名乗る利用者をブロックしたと非難している。

日曜日の事故を巡る市場環境も明らかになってきた。トランプ大統領がTruth Socialで即時の露墺エネルギー停戦を発表したことを受け、Bitcoin (BTC)の価格は10月11日、金曜日の約80,300ドルの安値から4.3%上昇し83,935ドルとなったが、ゼレンスキー大統領は合意を裏付ける詳細はまだ受け取っていないと述べた。この反発はColdcardの侵害やLedger問題の損失見直しにもかかわらず生じた。オンチェーン企業Bitqueryは、5つのネットワーク上の311ウォレットから流出した資金を約9,290万ドルと推計し、内訳はTRONで約7,050万ドル(主にUSDT)、Bitcoinで1,680万ドルとしている。強制ロスカットのデータでは、金曜日にショートが1億900万ドル、日曜日に1億29万ドル強制排除されたのに対し、ロングのロスカットは2,200万ドルと3,757万ドルで、両セキュリティ事故に起因する持続的なロング側のストレスは確認されなかった。Polymarketは10月29日のFOMC会合での据え置き確率を84%と示しており、10日前の34%から上昇した。

7月の修正バージョン番号を悪用した手口

偽の注意喚起が信頼性を得ていた背景には、7月下旬にColdcardを襲った実際の危機がある。デバイスのコードに含まれていたバインダーエラーにより、一部のウォレットが弱いエントロピーで生成され、本物の乱数生成器の代わりに解読可能なソフトウェアアルゴリズムへフォールバックしていた。窃盗の第一波は2026年7月30日に始まり、総損失は1,600〜1,800BTC、当時のレートで約1億ドル〜1億3,000万ドルと推計され、今年最大級の個別カストディ事故となった。セキュリティ研究者らは少なくとも7,300の侵害済みウォレットをこの欠陥に追跡しており、確認された3回の攻撃波で1億ドル超が奪われ、疑わしい第4波を含めると総額は約1億3,000万ドルに達する。業界全体のオンチェーンデータでは、7月のセクター全体の窃盗額は2億4,740万ドルに上り、4月の6億4,400万ドルに次いで2番目に悪い月となった。Coldcardの欠陥は当月最大の単一事故である。製造元のCoinkiteは緊急リリースで対応し、Mk3向けにバージョン4.2.0、Mk4とMk5向けに5.6.0、Qモデル向けに1.5.0Qを配布した。ただし更新によって既存ウォレットが自動的に保護されるわけではなく、利用者は新しいシードフレーズを生成し、手作業で資産を新しいウォレットへ移す必要があった。日曜日のフィッシングはこの手順をそのままコピーし、同じ修正済みバージョン番号を偽の告知に引用することで、慌てた利用者が攻撃者の管理するアドレスへコインを移すよう仕向けた。今回の事故は、ハードウェアウォレットを巡る一連の障害の流れにも位置する。9月下旬には、東南アジアの販売代理店のサプライチェーンを経由してLedger製デバイスが改ざんされ、8,600万ドル超の窃盗が発生。同社は90日以内に購入した人に資産の移行を呼び掛けている。

今回オンチェーン流出は確認されず

両事件を読み解くと、10月11日の攻撃は7月の欠陥とは根本的に異なる脅威だ。今回は自動的にオンチェーン資産を吸い上げる仕組みは働いておらず、被害の範囲は自ら24語のリカバリーフレーズを偽ページに入力した利用者に限られる。技術的な脆弱性の悪用ではなく、ソーシャルエンジニアリング型の攻撃と見るべきだ。Coldcard自身の声明もこの見方を裏付ける。同社が、投稿はプラットフォーム側のアクセスか管理パネルを通じて自社のセキュリティ層を迂回した可能性を示唆している点は、Xの内部システムに達しうるツールがダークネット市場に出回っているとの報告とも整合する。ただし本件との検証済みの関連は確認されていない。アカウントがどう奪われたかにかかわらず、実務上の教訓は変わらない。ファームウェア更新、ソフトウェアのダウンロード、緊急のウォレット移動に関する告知は、SNS上のリンク経由では決して確認せず、必ずメーカーの公式サイトで直接確認することだ。