Security

研究者らは2026年7月30日付のarXivプレプリント（査読前）で、暗号資産ウォレットの取引シミュレーション機能を悪用し、残高が増えるように見せかけて署名を誘導する新型のウォレット級フィッシング手法を報告した。悪意あるスマートコントラクトがシミュレーション上でわずかな返金（例：1 wei）を示し、承認後に資産を攻撃者アドレスへ移転させるという。手法は5,742の被害アドレスと約348万ドルの過去損失に関連付けられ、損失の91.5%はイーサリアム上で発生し、クロスチェーン損失の約83%は最大の推定クラスターに集中したとされた。

ビットコインはColdcardハードウェアウォレットを狙ったハッキングの懸念を受け、1.3%下落して62,591ドルとなった。研究者が指摘した欠陥により、攻撃者が1時間足らずで約7,000万ドルを盗み得た可能性があるとして、製造元のCoinkiteは利用者に資金移動を促した。さらに金曜日にはビットコインETFで資金流出が確認され、相場の重しとなった。

BitGoの最高経営責任者（CEO）マイク・ベルシェ氏は2026年8月1日、100 BTCを公開で確認できるBitGoのカストディ（托管）アドレスに入金し、AnthropicのClaudeモデルに対し資金を移せるかどうか挑戦を呼びかけた。100 BTCは当日約63,400ドル／BTC換算で、約634万ドル相当とされる。これは、Anthropicが7月30日に公表したClaudeの「脱獄」事案の開示への直接の反応だ。報道時点で当該アドレスの残高に変化はなかった。

Verus Protocolのイーサリアム（Ethereum）クロスチェーン・ブリッジが攻撃を受け、「公証署名の不一致（notarization mismatch）」を突かれて$7.44 million相当の資産が流出した。対象のブリッジは、イーサリアムと他チェーンを接続する基盤コンポーネントだ。今回の事案は、クロスチェーン検証ロジックに深刻な欠陥があることを示した。流出したトークンの種類は明示されていないが、損失はイーサリアム・メインネット側で発生した。

Coldcardのハードウェアウォレット利用者がハッキング被害に遭い、約30 BTCが流出した。うち17 BTCはTHORChainを通じて229.72 ETH（約44.5万ドル）にクロスチェーン交換され、離岸型の博彩プラットフォームDuelcom Casinoに全額入金された。被害者と研究者は同社の既知アドレス宛てに取引ハッシュなどの証拠を添えて凍結を要請したが、同社は警察からの直接連絡が必要だと回答した。この対応は、クロスチェーンで移動した資産を受け入れる下流の中央集権型サービスにおけるKYC/AMLの実行と初動対応の不備を浮き彫りにしている。

セキュリティ研究者のDustin Dettmer（@dusty_daemon）は、COLDCARDハードウェアウォレットのファームウェアのコミット履歴を追跡し、ビットコインの自己管理（self-custody）における「近年最悪級」のバグがコードに入り込んだ経緯を確認した。問題の欠陥は、ユーザーが秘密鍵を完全にコントロールする能力に直接影響し、UTXOモデルに基づくコールドストレージの安全性を脅かす。COLDCARDはBTCの長期保有や取引署名で広く使われているが、この問題は他のトークンのプロトコル層には関係せず、同製品で自己管理するビットコイン利用者に実質的なセキュリティリスクをもたらす。

BNB Chainは、退職した元従業員が社内で作成したウォレットアドレスを動画チュートリアルで使用し、退職後も当該アドレスのシードフレーズへ不正にアクセスし続け、新たな秘密鍵を生成して独自にmemeトークンを発行したと明らかにした。BNB Chainは、このトークンやウォレットアドレスの作成・承認・宣伝・関与を否定し、管理権限もないと説明した。さらに、元従業員に対して法的措置を進めるとともに、関係当局と連携して対応しているとした。今回の事案は内部権限管理の不備に起因するブランドの不正利用とオンチェーン上のアイデンティティ悪用に当たり、BNBチェーン上のプロトコルやトークン機能へ直接の影響はないものの、エコシステムにおけるアドレスの安全管理やブランド統制に対する市場の信認を損なう可能性がある。

攻撃者はアドテック企業Adformのサードパーティースクリプトを汚染し、同社顧客が運営する複数のサイトに悪意あるロジックを埋め込んだ。これにより、ユーザーが暗号資産ウォレットアドレスをコピーした際、アドレスが攻撃者の管理下にあるものへ静かに置き換えられた。この事案は特定のブロックチェーンに限定されず、BTC、ETH、TRXなどを含む、Web上でのアドレス入力に依存する暗号資産送金の場面に影響し得る。現時点で、具体的な損失額や影響を受けたサイト数は公表されていない。

ビットコイン・コア開発者のPeter Todd氏は、Coldcardのハードウェアウォレットが盗まれた事案を受け、単一署名（singlesig）で保管されるビットコインには根本的な安全上の弱点があると警告した。今回の事案はソフトウェアの脆弱性ではなく物理デバイスの窃取であり、単一署名における秘密鍵保管の脆さを浮き彫りにした。盗難額や関連アドレスは明らかにされていないが、この警告は個人による自主管理という最も一般的な保管手法に直接問題提起する内容となっている。マルチシグやしきい値署名など、より複雑だが堅牢な方式への移行を促す可能性もある。

速報によると、Coldcardハードウェアウォレット500台が攻撃を受け、ビットコイン約4,000枚（事案発生時の時価で約4,000万ドル相当）が盗まれた。Coldcardはオープンソースのビットコイン向けコールドストレージとして広く信頼されているが、今回の脆弱性によりユーザーのオフライン秘密鍵が意図せず露出したとされる。盗難資金は不明なアドレスに移され、オンチェーンでの追跡が続いている。この事案は取引所やカストディ事業者ではなく個人の自己保管を直撃し、ファームウェア更新の仕組みや物理的なサイドチャネル対策、助記フレーズのバックアップ手順をめぐる見直しを促している。