5年前に潜んでいた脆弱性が、今年最大級のビットコイン窃取につながるとは想定されていなかった。 7月30日、数百のアドレスから数百BTCが短時間で集約される異常が検知された。攻撃はその後、数千のビットコインアドレスをスキャンして拡大し、最終的に約2,000BTCが盗まれたとみられる。評価額は数億ドル規模に達し、盗難BTCの価値はすでに1億ドル超とされる。 原因として浮上したのは、ハードウェアウォレット「Coldcard」におけるニーモニック（復元フレーズ）生成工程の不具合だ。乱数の品質が弱く、実質的に予測可能になっていた可能性がある。中国では利用者が多くないため当初は注目されにくかったが、海外ではColdcardの知名度が高く、警戒感が急速に拡散した。 市場心理の悪化も示唆される。7月31日には、1BTC未満の小口送金の総量が39,600BTCに達し、2022年のFTX破綻後以来の高水準となった。 今回の脆弱性は、AIモデルにより発見・悪用された可能性も指摘されている。過去にZcashが1日で50%下落した際と同様の衝撃が語られる一方、今回の主戦場は価格ではなく「信頼」であり、その毀損は数値化しづらい。 現場の見立てを把握するため、BlockBeatsはSlowMist創業者の余弦（Yu Xian、通称Cosine）に取材した。余弦は一部被害者の支援にあたりつつ、事案を継続的に追っているという。余弦は「今回の影響は、ビットコインを強く信奉するコア層を直撃した点で深い」と話す。 【BlockBeats】Coldcard側は資産回収に向けてセキュリティ企業と連携しているのか。被害額はすでに1億ドル超だが、回収は見込めるのか。 【余弦】犯行グループは現時点で特定できていない。今後の資金移動の手口を分析し、背後関係を判断する必要がある。仮に北朝鮮系など国家支援型のハッカー組織だと最終確認されれば、回収は極めて難しい。公式チームは注意喚起を出しているが、外部のセキュリティチームを起用したとは聞いていない。盗難被害に遭ったColdcard利用者が個別に当社へ相談してきている。 【BlockBeats】本件は「乱数が乱数でなくなった」ことが本質に見える。暗号資産業界では乱数問題が毎年のように起きてきたが、なぜ今回は深刻なのか。 【余弦】数量と金額だけなら、数千BTCは史上最大ではない。Mt. Gox、BitFinex、LBankのプール等では数十万〜数百万BTC規模の損失もあったし、ブリッジハックならこの規模を上回ることもある。深刻なのは、Coldcardがオープンソースで透明性が高く、ミニマルな設計として評価され、長年にわたりビットコインのOGや信奉者に選ばれてきた点だ。「完璧」と思われていたものが破綻すると、最も熱心なユーザーほど衝撃が大きい。 中核は、ニーモニック生成時のエントロピー不足だ。期待されたほどシードのランダム性がなく、ハッカーが衝突を総当たりしてニーモニックを復元できる余地が生じる。これは暗号資産保全の根幹を揺るがす欠陥だ。 さらに皮肉なのは、強力なAIモデルが登場しているのに、Coldcard側やビットコイン信奉者がAIでコードを見直す発想に至らず、逆にハッカーがそれを実行した可能性があることだ。ニーモニックの乱数品質に関わる欠陥は、現代のAIなら比較的見つけやすい。 【BlockBeats】この事件は暗号資産業界全体に長期的な影響を与えるのか。 【余弦】長年「優等生」と見られてきたオープンソース系のハードウェアウォレットで問題が起きると、類似製品への信頼が揺らぐ。ユーザーは「自分のウォレットも大丈夫なのか」「今後生成するニーモニックは安全か」と疑い始める。 【BlockBeats】各プロジェクトはAIツールで自らコードをスキャンすべきか。SlowMistの対応は。 【余弦】推奨する。AIの影響は世間の想像以上に大きい。攻撃者は制約がほとんどなく、意図的に強力なモデルを構築できる。一方、防御側はモデル利用条件、計算資源、検閲など制限が多い。 当社はリソースの都合でビットコインやイーサリアムのような公共チェーンのソースコード監査は常時できず、AI時代のリスク低減を目的に重要顧客を優先している。過去案件をAIで見直すと、従来見落とされていた問題が多数見つかっており、効果は大きい。 【BlockBeats】モデルが強くなるほど、初期の暗号技術への不信は増すのか。Zcashでも似た影響があった。 【余弦】その通りだ。セキュリティは100%にはならず、攻防は常にエスカレートする。攻撃者は侵入に成功すれば直接収益化でき、投資対効果が極端に高い。防御側は手続きやリソース制約に縛られる。この非対称性がある以上、過去を超える規模の事故、場合によっては数十億ドル規模の損失も起こり得るし、将来ビットコインのコード自体に脆弱性が見つかる可能性も否定できない。 ただし業界の対応力については悲観していない。攻防は共存し、暗号システムは時間とともに強化されていく。 【BlockBeats】中央集権型取引所（CEX）の方が安全だという意見も出ている。 【余弦】大手CEXは基礎的なセキュリティ投資が進んでおり、よほど壊滅的でない限り、何らかのバックアップ策を持つ。多くの利用者にとって、ニーモニック管理やマルチシグ運用は難しく、従来は口コミや周囲の推奨でウォレットを選んでいた。この件で「信頼されていたウォレットでも欠陥はあり得る」と認識が変わり、評判の良いCEXに置く方が安心だと感じるのは理解できる。 【BlockBeats】技術に詳しくなく、コードも検証できない一般ユーザーはどう備えるべきか。 【余弦】まず、ニーモニックにパスフレーズ（追加の合言葉）を必ず併用してほしい。二段階の防御になり、未設定より圧倒的に安全だ。最低8文字以上で一定の複雑さを持たせつつ、絶対に忘れないこと。主要ハードウェアウォレットの多くが対応している。 同種の事故が起きても、攻撃者はまずパスフレーズ未設定のアドレスを優先して抜くため、主要資産の防波堤になる。運用例として、パスフレーズなしの通常アドレスに少額だけ置き、パスフレーズ付きのアドレスに大半を保管する。少額が盗まれたらシード漏えいのシグナルになり、パスフレーズ総当たりのコストが時間を稼ぐ。 業界に不慣れな人は、中央集権的な機関のサービスを使い、問題時のサポートに頼るのも現実的だ。 最後に、全ユーザー向けの一般的な推奨事項は次の3点。 ・資産状況を点検する：ウォレット作成時の記憶が曖昧、復元フレーズ露出の可能性があるなど不安が少しでもあれば、保管方法の変更を検討する。 ・冷静さを保つ：焦って偽ウォレットやフィッシングに引っかからない。 ・隔離の発想を持つ：不確実な資産は別デバイス（オフライン化可能な端末）へ分離し、混在させない。問題なしと決めつけるより安全で、一般的なリスクの9割以上を回避できるという。

暗号資産業界で、ハードウェアウォレットに見つかったセキュリティ上の欠陥を巡る懸念が広がっている。Galaxy Digitalの調査部門であるGalaxy Researchは、Coldcardハードウェアウォレットの脆弱性に起因する被害総額が2,000BTCを超える可能性があると警告した。 同社の分析によると、現時点で確認された3件の大規模攻撃と14件の小規模インシデントにより、合計1,596BTCが流出した。影響を受けたビットコインアドレスは約7,300に上るという。 脆弱性の原因は、Coldcard端末で用いられる乱数生成メカニズムの不具合にあると専門家は指摘する。影響はColdcard Mk3、Mk4、Mk5、Coldcard Qの特定ファームウェア版に及ぶとされる。 製造元のCoinkiteは問題発覚後、緊急のソフトウェアアップデートを提供し、ユーザーに対し速やかな更新を呼びかけた。 Galaxy Researchは、同じ手口による第4の攻撃が行われたことを示す強い証拠があるとしつつ、現時点では完全には確認されていないと説明。これも被害に含めた場合、流出は最大で2,055BTCに達し得る。現在価格ベースでは約1億3,000万ドル超に相当する。 調査チームは、事件後に米国の連邦捜査機関や複数の暗号資産取引所と連携し、攻撃者の特定と流出資産の追跡を進めているという。 報告書では、盗まれた資金の大半がまだ動いていない点も注目点として挙げられた。Galaxy Researchのデータでは、流出したビットコインの約90%が、当初確認されたアドレスに留まっている。分析担当者は、攻撃者が資金のマネーロンダリングや売却にまだ着手していない可能性があるとみている。 ※本記事は投資助言ではない。

ノンカストディ型スワップ提供のBoltzは、インフラに対する自動化されたAI支援型攻撃が急増したとして、ビットコインのスワップサービスを当面停止した。週明けに明らかにしたところでは、ここ数カ月で複数の攻撃事案に対応したものの、いずれも封じ込めに成功した一方、比較的小規模な開発チームが修正パッチを投入する速度を上回って、攻撃者が脆弱性の発見と適応を進めていると判断した。 直近数日で攻撃が大きく加速し、最新のセキュリティスキャンで新たな問題も検出されたため、現時点でのサービス再開は無責任だとしている。再開時期は公表しておらず、ユーザーには「近く再開する」とは見込まないよう注意を促した。 停止の背景についてBoltzは、今年に入って「自動化されたAI支援のプロービング（探索）」が一段と頻発していると説明。複数の潤沢なリソースを持つ集団が、開発側が修正作業を進める間も継続的に狙っている可能性があるとの見方を示した。攻撃の技術的詳細や、AIがどのように使われたかを示す具体的な証拠は現時点で公開していない。 一般にAIツールは、公開コードの精査、脆弱性の検証、失敗した攻撃手法の迅速な改変などを支援し得る。探索工程の多くを自動化し、攻撃を24時間体制で回せる一方、防御側は検知結果のレビューやパッチ開発、変更のテストに時間を要するため、小規模なオープンソースチームにとって不利になりやすい。 暗号資産で決済できる「pay-per-prompt」型AIサービスのPayPerQも、AIが関与している疑いのある攻撃を頻繁に受けていると述べている。Solana Foundationのセキュリティ責任者Michael Coatesは以前、暗号資産企業には人間の対応速度では追いつかないため、自律型の防御が必要になると主張していた。 Boltzは、スワップがノンカストディであるため顧客資金が危険にさらされたことはないと説明する。同社はアトミックスワップを用い、Bitcoinメインネット、Lightning Network、Liquid Networkの間でビットコインおよびビットコイン建て資産を移動させる。ユーザーは資産をBoltz管理の口座に預け入れるのではなく、自身で管理したまま取引できる。 一方で、ノンカストディの仕組みでもソフトウェア脆弱性、取引の中断、サービス停止といった影響は起こり得る。未完了のスワップがある利用者には、スワップID、返金ファイル、リカバリーキーなど取引情報の保管を呼びかけた。返金処理のためAPIは提供を継続し、サポートチームも対応を続けるという。 今回の停止は、中央集権型取引所に依存せず、ビットコインの異なるレイヤー間で資金移動を可能にするBoltzの役割を踏まえると影響が小さくない。LightningやLiquidのスワップでBoltz基盤を利用するウォレットやアプリにも波及する可能性がある。DeFiLlamaによれば、報道時点の総ロック額（TVL）は約262,187ドル。ただし、この数値がプラットフォームを経由した取引総額の全体像を必ずしも示すものではない。 Boltzは現在、システムの精査と修正の適用を進めている。次のアップデートが出るまでは、新規スワップを控え、返金や復旧支援は公式サポート窓口のみを利用するよう求めている。

Boltzは、AIを利用したハッキング攻撃の急増により少人数のセキュリティチームが対応しきれなくなったとして、ビットコイン（#Bitcoin）のスワップサービスを一時停止した。非カストディアル（利用者資産を預からない）構造のため、ユーザー資産は安全だとしている。

Whale Alertによると、2013年以来動きのなかったビットコイン・ウォレットが500BTCを移動した。金額は約3,130万ドル相当で、休眠期間は12年以上に及ぶ。 Lookonchainは、この動きがColdcardのハックを受けたセキュリティ懸念と関連している可能性を指摘。Galaxyは、当該エクスプロイトにより盗まれたビットコインが約1億3,000万ドルに達したと推計している。 CryptoQuantによれば、同時期に長期休眠していた複数のウォレットでも活動再開が確認された。

ストラテジー（Strategy）はビットコイン（BTC）の売却を進め、調達資金をSTRC優先株の買い戻しと配当・利払い原資の積み増しに振り向けた。米証券取引委員会（SEC）への8月3日付の届出によると、同社は7月27日から8月2日にかけて1,638BTCを売却し、1億0470万ドルを得た。加えて、普通株（MSTR）約301万株を発行して2億9060万ドルを調達。合計は約3億9500万ドルに達するが、追加のビットコイン購入には充てず、優先株配当の支払い、STRCの買い戻し、米ドル建て現金準備を40億ドルへ拡大する目的に使用した。 この資金再配分により、同社のビットコイン購入停止は6週目に入り、2024年以来で最長の買い控えとなった。背景にあるのはSTRCの価格低迷だ。STRCは変動金利型の優先株で、同社がビットコイン・トレジャリーを支える恒常的な資金調達チャネルとして位置づけている。STRCが額面の100ドル近辺で推移していれば、同社は額面に近い水準で新規発行し、調達資金を柔軟にバランスシートへ配分（ビットコイン購入を含む）できる。一方、割安な状態が長期化すると、新規発行で条件を引き下げるか、投資家を引き付けるため配当利回りをさらに引き上げざるを得ず、この調達チャネルの実効性が落ちる。 STRCは5月以降、額面を下回って推移している。ストラテジーは株価下支え策として年率換算配当を12%に引き上げ、二次市場での買い戻しを開始した。先週は、ビットコイン売却による5230万ドルとMSTR発行による2890万ドルを合わせた8120万ドルを投じ、STRCを912,143株買い戻した。前週には2500万ドルの買い戻しを実施し、平均取得単価は86.53ドル、取得株数は288,930株だった。 同社のPhong Le社長兼CEOは第2四半期決算説明会で、額面割れでのSTRC買い戻しは将来の配当支払い義務を割引で解消できるうえ、需要を喚起して株価を100ドルの額面へ戻す効果があると説明した。7月のプログラム開始以降、STRC買い戻し累計は約1億0620万ドル。優先株買い戻しの認可枠は残り8億9380万ドルが残り、MSTR普通株の自社株買い（総額10億ドル）は未使用のままという。目標は9月までにSTRCを額面へ回復させることで、以降の買い戻しペースは株価水準と市場流動性に左右される。 同社はまた、優先株の配当と負債利払いの安定的な原資として現金準備の積み上げを急いでいる。今回のMSTR公募増資で得た2億9060万ドルのうち、2億5000万ドルを米ドル建て準備に充当し、残り1170万ドルは運転資金として留保した。6月末時点で準備は25億5000万ドルだったが、7月26日時点で37億5000万ドルに増加しており、今回の資金で目標としていた40億ドルに到達した。 ストラテジーは6月に資本フレームワークを更新した際、優先株配当と負債利息の年合計コストを約17億6000万ドルと見積もっている。この水準なら40億ドルの準備は約27カ月分の支払いをカバーする。取締役会の追加承認がない限り、これらの資金は優先株配当と既存債務の利払いに限定して使用される。準備金の積み増しは、市況悪化時に資産売却や追加証券発行で短期の支払いを賄う必要がなくなる点でリスク低減につながる。ビットコイン価格が下落したり資本市場の環境が悪化しても、優先株投資家は専用の現金準備によって保護される。 一方で、この安全網は普通株主の希薄化を伴って構築された面が大きい。先週、同社はビットコインを買い増さないままMSTRを301万株追加発行し、その期間に保有ビットコインは1,638BTC減少した。結果として、希薄化後の1株当たりビットコイン保有量は低下した。ビットコイン弱気派として知られるPeter Schiff氏は、一連の取引はストラテジーがビットコイン売却とMSTR増資を通じ、優先株主の利益を優先する方向へ傾いていることを示すと指摘する。 同社の「1株当たりビットコイン」指標の変化もそれを映す。年初来の増加率は3.5%にとどまり、5月末時点の13.3%から鈍化。今四半期に入ってからは4.6%の減少となった。同社はBTC利回り（BTC yield）を「希薄化後1株当たりビットコイン保有量の変化率」と定義し、ビットコイン保有増をこの比率から推計BTC数に換算している。ただし、これらの指標は株主リターン、売上、キャッシュフローを示すものでも、債務返済能力を直接示すものでもないとしている。 今年に入って同社はビットコイン売却を継続しており、ビットコインが証券ビジネスにおける実務的な流動性源へと位置づけられつつある。具体的には、5月下旬に32BTC、6月29日と30日に1,363BTC、7月最初の5日間に2,225BTC、そして先週に1,638BTCを売却した。ビットコインアナリストのWill Clemente氏は、これらの取引は「ビットコイン保有者」「MSTR普通株主」「優先株投資家」という3者の利害を調整するため、経営陣がバランスシート内で資金を再配分していることを明確に示すと述べている。 同社はこの柔軟性を「BTC Liquidity Plan（BTC流動性計画）」として制度化しており、ビットコインを売却して準備金を最大12億5000万ドルまで積み増すことを認めている。資金使途は優先株配当の支払い、債務利息の支払い、優先株または普通株の買い戻し。これらの目的を超える売却、または上限超過は取締役会の追加承認が必要になる。 マイケル・セイラー（Michael Saylor）会長（Executive Chairman）は、同計画が「ビットコインを永久保有する」というコミットメントと矛盾するとの見方を否定した。セイラー氏は、同社がBTCマネタイゼーション計画を発表したのは6月29日で、第2四半期決算発表の31日前であり、損失発生後ではないと説明。「"絶対に売らない"方針を採ったことはない。計画は売却を義務づけない。長期的にはビットコインの純買い越しを継続すると見込む」と述べた。 ストラテジーは上場企業として最大のビットコイン保有者で、842,138BTCを保有。これは発行上限2,100万BTCの約4%に相当する。取得総額は635億1000万ドル、平均取得単価は75,419ドル。執筆時点のビットコイン価格は約62,633ドルで、時価総額は約527億ドル。取得原価との差で約108億ドルの含み損となっている。 含み損の状態で平均取得単価を下回る水準で売却が続けば損失が実現し、普通株・優先株の巨大な資本構造と継続的な配当を支えるビットコイン準備は目減りする。セイラー氏が掲げる長期の純買い越し回帰は、STRCを額面の100ドルへ戻し、MSTR普通株の継続的な希薄化やビットコイン取り崩しに依存しない資金調達を回復できるかにかかっている。

トランプ一族が支援するビットコイン採掘会社American Bitcoinは月曜日、6月末時点のビットコイン保有高が約8,002BTC（約5億1,200万ドル相当）に達したと発表した。第2四半期（Q2）の採掘量が過去最高となる932BTCを記録し、採掘規模の拡大と長期保有を組み合わせた積み上げ戦略が進んだ。 同社の保有BTCは3月末の約7,021BTCから約14%増加。Q2の採掘収益は6,700万ドルで、Q1の6,210万ドルから増加した。ビットコイン1枚当たりの採掘コストは約3万6,500ドルで、エネルギーコスト上昇にもかかわらず概ね横ばいだった。平均ビットコイン価格が前四半期比で約12%下落する中でも、粗利益率は約50%を確保した。 一方、Q2の純損失は5,720万ドル。Q1の8,180万ドルの損失からは改善した。CEOのマイク・ホー氏は、"ビットコインを成長する資本資産と捉えており、長期の複利効果は当社の資本コストを上回る"と述べ、逆風下でも生産量、準備金の積み上げ、オペレーション基盤といったコントロール可能な指標に注力したと説明した。 共同創業者で最高戦略責任者（CSO）のエリック・トランプ氏は、"少し前までAmerican Bitcoinはアイデアに過ぎなかった。今では8,000BTC超を保有し、世界最大級のビットコイン採掘プラットフォームを運用し、過去最高の四半期生産を達成した"とコメント。四半期ごとの成長を継続する方針を改めて示した。 今回の更新は、同社にとって株価面で不安定さが続く中での発表となった。3月にはナスダック上場後7カ月足らずで保有BTCが7,000を超えたと公表した一方、株価はIPO後の安値を付け、ピークから約94%下落した水準にとどまった。5月にはQ1の純損失が8,200万ドルだったと報告し、保有高を7,300BTC超へ拡大、採掘機は約9万台近くまで増強したが、ビットコイン価格に連動する会計ルールが損失を見かけ上拡大させたとも説明している。7月には暗号資産関連株の売りが広がる中で株価が再び下落し、ナスダック上場維持要件を満たすため1対15の株式併合（リバース・スプリット）を実施した。 人事面では同日、社長兼暫定CFOのマット・プルサック氏が退任し、AIおよびエネルギーインフラ開発企業Giga Energyに最高事業責任者（CBO）兼暫定CFOとして移ると発表した。プルサック氏はブログ投稿で、業界の主要な制約が採掘機器から、採掘とAIデータセンター双方を支えられる電力インフラへ移りつつあると指摘し、"Gigaには1社では同時に追い切れないほどの機会がある"と述べた。 先行きについてホーCEOは、"当社の中核は運営事業であり、貸借対照表にビットコインを保有するだけでなく、スケールしたインフラを通じてビットコインを生み出している"と強調。インフラ面の優位性を深め、財務体質を強化し、1株当たりのビットコインを複利的に積み上げることで、市況のサイクルを通じて株主価値の持続的な向上を目指すとした。 採掘規模の拡大をビットコイン準備金の成長につなげる同社の姿勢が鮮明になる一方、ビットコイン価格と株式市場のセンチメントは引き続き変動が大きい。

AiCoinのモニタリングによると、米国の現物BTC ETF市場では昨日、資金流入が大きく膨らみ、純流入額は1億7,000万ドルとなった。内訳ではIBITが単日で1億1,100万ドルの純流入と最大で、FBTCが3,340万ドルで続いた。AiCoinが提供する［Spot BTC ETF Tracking］のライブ戦略では、ETFへの資金流入とBTC価格に強い正の相関が確認されている。資金フローの動向に基づく自動売買を行うには、本指標の購読で連動設定が可能。データは参考情報。

月曜、2013年以来動きのなかったビットコイン（BTC）ウォレットが突如オンチェーンで再始動した。注目されたのは「18TExP」とラベル付けされたアドレスで、500 BTC（約3,130万ドル）を移動。オンチェーントラッカーのWhale Alertが最初に検知した。前回動いた約12.7年前の評価額はおよそ50万ドルだったという。 ウォレット間の移動だけでは、売却などの意図は読み取れない。分かるのは、10年以上前の秘密鍵を保有する人物が資金を動かす判断をした、という事実だけだ。 市場の関心を集めているのはタイミングだ。再稼働は、ビットコイン専用ハードウェアウォレットとして知られるColdcardを巡るセキュリティ問題が拡大する最中に起きた。ブロックチェーン調査アカウントLookonchainはXで、「12年以上休眠していた18TExPが1時間前に500 BTC（3,127万ドル）を新しいウォレットへ全額移動した。Coldcardハック後の安全性懸念から移した可能性がある」と投稿している。 今回の事案では、7月30日のハック発生以降、攻撃者がColdcardで生成されたウォレットから数千BTCを流出させている。原因は2021年3月に遡る欠陥の悪用とされる。Galaxyの研究者によれば、これまでの被害総額はBTCで約1億3,000万ドル規模に達した。 週末には、自己管理（セルフカストディ）の安全性への信頼低下を背景に、取引所へのBTC流入が増えているとの指摘も出た。CryptoQuantのオンチェーンデータ（spent output age bands：当日に動いたBTCを休眠期間別に分類する指標）でも、同じ時期に「古いコイン」の移動が目立っている。 10年以上休眠していたコインは8月3日に約935 BTCが移動し、3月20日以来の1日当たり最大となった。別の区分では、5〜7年休眠していたコインが7月31日に約6,388 BTC動き、より大きなスパイクを示した。 長期休眠コインの移動には、相続手続き、取引所のウォレット整理、カストディ事業者の移行など、単一のハックとは無関係な理由もあり得る。それでも、Coldcardのインシデント直後に大口の休眠資金移動が複数まとまって発生している点は、保有者がリスク回避のために資金を別の保管先へ移し替えている印象を強めている。