暗号資産（仮想通貨）をインターネットから切り離して保管する「ハードウェアウォレット」の欠陥が悪用され、これまでに1億3000万ドル（約201億5000万円）以上の暗号資産がハッカーによって窃取されたことが、ブロックチェーンのセキュリティー企業の調査で明らかになりました。
調査会社「ギャラクシー・リサーチ」などによりますと、カナダの企業「コインカイト（Coinkite）」が製造するハードウェアウォレット「コールドカード（Coldcard）」の利用者が標的になっているということです。現在、少なくとも12以上のハッカー集団が関与しているとみられていますが、首謀者は特定されていません。
被害額は現時点で約1億3000万ドル（約201億5000万円）に上るとされています。暗号資産の監視を行う企業「エリプティック（Elliptic）」の共同創業者であるトム・ロビンソン氏も、この被害規模の推計は概ね正確だとの見方を示しています。
暗号資産を狙った大規模な窃取は後を絶ちません。ブロックチェーン監視企業「TRMラボ」によりますと、今年に入ってから暗号資産関連企業を狙ったハッキングは200件を超え、被害総額は9億5000万ドル（約1472億5000万円）以上に上るということです。
今回の事件で注目されているのは、本来最も安全な保管方法の一つとされる製品が狙われた点です。コールドカードのような端末は、暗号資産のパスワードに相当する「シードフレーズ」をインターネットから完全に切り離した状態（オフライン）で保管するため、「コールドウォレット」と呼ばれています。
しかし、セキュリティー研究者の調査により、この端末がシードフレーズを生成する仕組みに欠陥があり、パスワードが予測可能な状態になっていたことが判明しました。ハッカーはこの欠陥を突いてパスワードを総当たりで割り出す手法を用い、物理的な端末に触れることなく暗号資産を盗み出したとみられています。
実際に160万ドル（約2億4800万円）の被害に遭ったという利用者は、SNS上で「パスワードは誰にも教えず、端末もインターネットに接続していなかった。すべてを正しく行っていたにもかかわらず、2021年のプログラムのコードに存在したたった1行の脆弱性が原因で被害に遭った」と訴えています。
製造元のコインカイト社は、利用者に対して欠陥の存在を警告するとともに、端末のソフトウェアを最新版に更新し、新しいシードフレーズに移行するよう呼びかける方針を示しています。なお、同社はメディアからの取材に対して、これまでのところコメントを出していません。
