「ハードウェアウォレットに保管しておけば、暗号資産は絶対安全」
そう思っている方、実は結構多いんじゃないでしょうか。私も正直、そのイメージを持っていました。
念のため最初に説明しておくと、ハードウェアウォレットとは、暗号資産を動かすための”鍵”を、インターネットにつながない専用の機械の中にしまっておく道具のことです。
ネットにつながっていなければ外から鍵を盗まれる心配がない、というのがこれまでの安全神話でした。
そしてその”鍵”のもとになっているのが「シード」と呼ばれる、いわば合言葉のようなものです。
この記事ではわかりやすく「シード（鍵のもと）」と表記していきます。
ところが2026年7月30日、この安全神話を揺さぶる事件が起きました。
ビットコイン専門のハードウェアウォレット「コールドカード」から、わずか41分間で約110億円相当のビットコインが流出したのです。
しかも、犯人は被害者のウォレットに一度も触れていません。
今回は、この事件の「何が・どうして起きたのか」を追いながら、そこから見えてくる暗号資産の管理における大事な気づきを、なるべく楽しく整理していきます！
何が起きたのか？たった41分で110億円が消えた事件
米調査会社ギャラクシー・リサーチの分析によると、7月30日の未明、わずか41分間のうちに1,196件のアドレスから1,082.65BTC（約110億円相当）が抜き取られました。
原因は、コールドカードの一部の機種で使われていた、本体を動かす中身のソフトに見つかった不具合でした。対象になったのは、少し前のモデルと、比較的新しいモデルの一部で、ある時期に作られたシード（鍵のもと）です。
ちなみに当初は「500件・594BTC」規模と報じられていましたが、調査が進むにつれて被害範囲が広がり、最終的に約2倍の規模だったことが判明しています。
「後から被害額が2倍になった」というだけでも、ちょっとヒヤッとする話ですよね…
驚きのポイント：ウォレットに「一度も触れず」に盗まれた
ここが今回の事件で一番驚くポイントです。攻撃者は、被害者のコールドカード本体に一切アクセスすることなく、資産を盗み出しました。
ハードウェアウォレットの安全性は、本来「鍵をネットにつながない機械の中に閉じ込めておく」という発想に支えられています。自己管理型ウォレットが信頼されてきたのも、この”距離”のおかげでした。
ところが今回は、その前提そのものが崩れてしまったんです。デバイスが海外の金庫の中で電源オフになっていても、まったく関係なく資産を抜き取られてしまう。理由は次の章の「シードの作り方の甘さ」にあります。
気づき①：合言葉（シード）の作り方が甘かった
ここが今回の事件の核心です。本来は複雑でランダムなシード（鍵のもと）を作るはずが、設定のミスによって、単純な方法で作られてしまっていました。
イメージとしては、複雑なパスワードを自動生成する機能を使うつもりが、設定ミスで「単純で予測しやすいパスワード」を作る方法に切り替わっていた、という感じです。
しかもその単純な方法は、機械の製造番号（工場出荷時から決まっている数字）と、内部の時計の値（攻撃者が自分の手元でも測って絞り込める情報）を組み合わせただけのものでした。
結果、本来は天文学的な数のパターンがあるはずのシード（鍵のもと）が、絞り込むと約40億通りにまで減ってしまいました。40億は人間にとっては大きな数字ですが、コンピュータにとっては一瞬で試せる範囲です。攻撃者は自分のパソコンで候補をひたすら作り、それぞれに対応するアドレスを、誰でも見られる取引の記録と照らし合わせるだけで、シード（鍵）を言い当てることができてしまったのです。
「合言葉がちゃんとランダムかどうか」って、実は暗号資産の安全性の根っこの部分なんですよね
気づき②：自分が被害者かどうか、実は確かめる方法がない
正直、ここが今回の話の中で一番モヤッとするポイントです。自分のウォレットが、この不具合のある方法でシード（鍵のもと）を作られていたかどうか、持ち主自身が確かめる方法は今のところありません。
「自分は大丈夫」と確認できる手段がないので、心当たりのある人は、実際に盗まれていなくても、念のため資産を新しいウォレットに移しておくのが無難、とされています。セキュリティ企業も、資金を移していない人については、今後さらに被害が広がる可能性を警告しています。
「調べる方法がない」って、地味に一番つらい状況かもしれません…
ちょっと笑える伏線回収：犯人にも意外な”うっかり”があった
ここまで聞くと「完璧すぎる犯罪だな…」と思ってしまいますが、実はちょっと笑える後日談もあります。
犯人は盗んだ後、あちこちの取引記録を調べ回っていたのですが、その調べ方があまりに機械的で”いかにも作業してます”みたいなパターンだったそうです。
あまりにも規則正しいタイミングと回数だったので、セキュリティ会社の人たちが「これは怪しい」と気づいてしまったのだとか。しかもその調べ物、誰でも使える便利なサービスを使っていたそうで、その利用履歴が捜査のヒントになったといいます。
どれだけ鮮やかな手口を使っても、日々の細かい行動でボロが出る。なんだか少し人間味を感じる展開でした（笑）
気づき③：「コールド＝絶対安全」ではなく「分散」が新常識に
今回の事件を受けて、バイナンス創業者のCZ氏はビットコイン保有者にこう呼びかけました。「昔から信頼されてきたハードウェアウォレットでも故障（欠陥）しうる」として、資産を1つのウォレットに集中させず、分散して管理すること。
「コールド＝絶対安全」という思い込みを一度疑ってみて、複数のデバイス・複数の管理方法に資産を分けておく。これが、今回の事件からの一番実用的な教訓と言えそうです。
過去の類似事例も含めて振り返りたい方は、暗号資産インシデントファイルもあわせてチェックしてみてください。
「卵は一つのカゴに盛るな」という格言、暗号資産の管理でもそのまま当てはまりますね
まとめ
今回のコールドカード事件は、ハードウェアウォレットという「安全の代名詞」にすら、思わぬ穴があり得ることを示した出来事でした。
・7月30日、わずか41分間で約110億円相当のビットコインが流出
・原因はシード（鍵のもと）の作り方の甘さ。デバイスに一切触れずに鍵を”言い当てられる”状態になっていた
・自分が被害対象かどうかを確かめる手段は存在しない
・皮肉にも、犯人自身の”作業っぽい”足跡が捜査の手がかりに
・教訓は「コールド＝絶対安全」ではなく「複数ウォレットへの分散管理」
「デバイスさえ持っていれば安心」ではなく、日頃から少しずつ管理方法を見直しておく。それだけでも大きな違いになりますね
シードの管理をアプリでもっと手軽にしたい方は、ウォレットとポイント・NFTがひとつにまとまる「HashPort Wallet」から始めてみるのもおすすめです👇
コメント