ビットコインのハードウェアウォレット「Coldcard」への攻撃により、小口資金の大規模な移動が観測された。CryptoQuantのデータによると、この動きは2022年のFTX破綻以来の規模だという。
Galaxy Digitalのリサーチ責任者Alex Thorn氏は日曜日、攻撃が現在も進行中であると警告を発した。Coldcardで生成されたアドレスから資金を直ちに移動させるようユーザーに促している。
今回の事態は、暗号資産の根幹にある「自分で資産を管理する」というセルフカストディの理念を改めて問い直すきっかけとなった。安全性と利便性のバランスをどう取るか。業界全体が議論の渦中にある。
Coldcardハッキングの概要と被害の広がり
Coldcardはビットコイン専用のハードウェアウォレットで、物理的な端末に秘密鍵を保管することで、オンライン上の脅威から資産を守る仕組みだ。端末そのものが小型の金庫のような役割を果たし、取引署名も端末内で完結する。秘密鍵がインターネットに接続されないため、理論的には高い安全性を誇る。
ところが今回はそのColdcardに何らかの脆弱性が発覚し、攻撃者が秘密鍵を不正に入手する事態に発展した。Alex Thorn氏はX（旧Twitter）への投稿で、攻撃チームが新たな被害者と攻撃者のアドレスを継続的に特定していると述べている。ユーザーからの報告が、調査当局による資金追跡の大きな助けになっているようだ。
特定のウォレット事業者の問題か
この攻撃の最も重要なポイントは、ビットコインのプロトコルそのものや、セルフカストディという概念全体に欠陥があったわけではない、という点にある。問題は一つのハードウェアウォレット製品に集中していた可能性が高い。
つまり、銀行強盗が起きたからといって、銀行システムそのものを否定するのが筋違いなのと同じ構図だ。管理を放棄するのではなく、より強固なツールを選ぶための教訓として受け止める必要がある。
小口流出がFTX破綻以来の規模に
CryptoQuantの分析が注目を集めた理由の一つが、流出した資金の多くが1BTC未満の小口だったことである。大口投資家ではなく、個人投資家の少額資産が大量に狙われた形だ。
1BTC未満の移動規模がここまで膨らんだのは、2022年11月のFTX破綻時以来だという。あの時は取引所への信頼崩壊により資金が中央集権型取引所から自己管理ウォレットへと一斉に移動した。今回はその「自己管理」の砦が突かれたことで、逆のベクトルの動きが生まれている。
このデータが示すのは、個人投資家の動揺の大きさだ。攻撃の直接的被害を受けたかどうかに関わらず、Coldcardユーザー全体が予防的に資金を移動させた可能性が高い。
セルフカストディを巡る論争の構図
今回のハッキングは、セルフカストディの是非を巡る長年の議論に火をつけた。暗号資産コミュニティの内部でも意見が割れており、外部からはETF支持派の声も加わって論争は複雑さを増している。
「セルフカストディは終わった」に反論
ビットコインのセキュリティ企業CasaのCEOであるNick Neuman氏は、「セルフカストディは終わった」という主張に真っ向から反論した。
Neuman氏の試算によれば、攻撃によって盗まれたビットコインの10倍以上の量が、セルフカストディによって保護されているという。分散型の構造ゆえに一斉流出が起こりにくく、ユーザーに対応の時間的猶予が生まれる利点も強調している。
これは考え方としては、マンションの一室で火災が起きても、隣家に燃え移るまでに避難できる猶予がある、というのに近い。すべての資産が一箇所に集まっている中央集権型のリスクとは、危機の伝播速度がまったく異なるのだ。
ETF支持派からの声
一方で、伝統的金融の立場から意見を述べたのがBloombergのETFアナリストEric Balchunas氏だ。同氏はビットコインETFの方が多くのユーザーにとって安全で利便性が高いと主張する。ETF業界の長い運用実績がその根拠だ。
ETFは証券会社が資産を保管し、投資家は証券口座で持ち分を売買する。秘密鍵の管理に頭を悩ませる必要はなく、パスワードを忘れたり端末を故障させたりする心配もない。ただし、これは資産の「所有」ではなく「運用委託」に近い形になる。
これに対する反論もある。Coldcardの件はあくまで一つのウォレット製品の問題であり、セルフカストディ全体の否定にはつながらないという見方だ。車の一車種で欠陥が見つかったからといって、すべての自家用車を廃止して公共交通だけにしろ、と言うのと同じ無理がある。
投資家が取るべき現実的な対策
今回の事件から浮かび上がる最大の教訓は、ハードウェアウォレットといえども絶対ではない、というシンプルな事実だ。では具体的にどのような対策を取ればよいのか。
分散管理の徹底
一つのウォレットや一つの製品に全資産を集約しないこと。これはセルフカストディの基本原則だが、実践できていないケースが多い。複数のハードウェアウォレットを使い分ける、一部をマルチシグ対応のウォレットに預ける、長期保有分と日常利用分を分けるといった対策が有効だ。
ファームウェア更新と情報収集
攻撃の詳細な手口はまだ完全には解明されていないが、ファームウェアの脆弱性を突かれた可能性が指摘されている。ハードウェアウォレットもソフトウェアで動く以上、定期的なアップデートが欠かせない。
また公式チャンネルや信頼できるセキュリティ研究者の情報を常に追うことも重要だ。今回Alex Thorn氏がXで発信した警告のように、初期段階で情報を得られれば被害を回避できる可能性が高まる。
この記事のポイント
- Coldcardハードウェアウォレットへの攻撃により1BTC未満の小口資金が大量流出、この規模はFTX破綻以来だ
- 問題はビットコインやセルフカストディの概念そのものではなく、特定製品の脆弱性である可能性が高い
- セルフカストディ支持派は分散性による防御効果を、ETF支持派は運用の簡便さと実績をそれぞれ主張している
- 投資家の現実的対応として、ウォレットの分散管理と定期的な情報収集が求められる
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。