周_ｵﾝﾗｲﾝ

hotmail→icq→yahooﾒｾﾝｼﾞｬｰ→ｽｶｲﾌﾟ→twitter→bitcoin/silver

このアカウントのメインテーマは
・現役世代への過度な負担を減らし「小さな政府」を目指す
・社会構造改革は道のりが遠いので個人救済としてビットコイン保有推奨
を訴えたい (2025-06-01)

[katakoto @katakoto]

lostinbitcoinで公開中だった僕のColdCard関連のページには、今回の事件の注意喚起と移行先に関する情報を追記しました。

この期に及んで、これからColdCardを購入して利用とするユーザーはいないと思いますし、運営側から一時、公開を中止してはどうかという提案もありましたが、Xを経由しないユーザーへの配慮から、可能な限り冒頭への追記にて、注意喚起と移行作業の促しを続けていくことにしました。

今となっては "Don't trust, verify."(信用するな、検証せよ)が僕にとってただのお題目であり、自分の信頼する他のビットコイナーを盲目的に信じていただけと言って良いこの結果を、自分でも悔やみ恥じています。

「検証可能である」ことと「検証されている」ことを同じものとして扱っていました。コードが検証可能であること、信頼するビットコイナーが使っていることを、それ自体が検証の代わりになると考えていました。

自分がカナダ在住ということもあり、ビットコイン・オンリーを声高に叫ぶ、世の中的には無名で小さなスタートアップ企業を、純粋に応援したいという明確なバイアスによって、あらゆる小さな違和感に目をつぶっていました。

その結果、僕の記事を信じて実際にColdCardを購入し、実際に少なくない人々の大切なビットコインを危機に晒してしまったことを、本当に申し訳なく思います。

この記事が残り続けることは、自分にとっての恥と愚かさの刻印であり、読み返すたびに心をえぐられる思いですが、「セルフカストディを体験して、Bitcoinをもっと自分のものにしてほしい」という思いには当時も今も嘘はありません。

信用を失ったこのアカウントを今後どうしていくか、自分の中でまだ結論は出ていません。今は信用を取り戻すべきはこのアカウントに対してではなく、セルフカストディという行いそのものという気持ちです。

ただ、"Don't trust, verify." の言葉を目にするたびに、それを得意げに語りながら自分では何も実践できていなかった１人のビットコイナーがいたことを思い出してくれたら、僕がこれまでやってきたことも少しは意味を持つかもしれません。

[周_ｵﾝﾗｲﾝ @shuonline]

まさにこれ。

[とある救急隊の憂鬱 @ma4bqEimrCgICrN]

イオンモールの爆発で亡くなった店員が話題で、テレビが大々的に報じてる。

辺野古の女子高生はどうした？
あれほど酷い人災はないぞ。あれこそ二次災害のお手本みたいなもんだぞ。

[周_ｵﾝﾗｲﾝ @shuonline]

@sen_axis 本当に詭弁ですよね

[周_ｵﾝﾗｲﾝ @shuonline]

ここが底になるはず

[Bitcoin Archive @BitcoinArchive]

BITCOIN ALWAYS COMES BACK ⚡️

🔸Hard lessons learned.

🔸Time to strengthen defenses.

🔸We build back stronger.

[周_ｵﾝﾗｲﾝ @shuonline]

こんなコメントした10日後、まさかこんな事態になるとは夢にも思わなんだ。
自分が間違っていました。くらまさん、すみません。

[周_ｵﾝﾗｲﾝ @shuonline]

@snakagawa010309 今回の動画では言及してませんが、くらまさんは取引所に預けてるんですよね。
カウンターパーティーリスクを危惧しながらセルフカストディしないのは矛盾してるのではないかと思ってしまいます。

[周_ｵﾝﾗｲﾝ @shuonline]

今回サイクルのFTX事件よろしく、ここが価格の底だと信じたい。

[Blockstream Jade @BlockstreamJade]

DO NOT WAIT FOR YOUR SHIPMENT OF ANY HARDWARE WALLET TO ARRIVE

[Z @Zimo0o0]

what the fuck do you mean deprecated???

your entire business model is selling wallets meant to secure people’s BTC for the LONG TERM??

why the fuck would ANY of your wallets ever have a deprecation date?

are you guys seriously this inept??

hundreds if not thousands of regular folks all around the world have lost their life savings and sitting in financial ruin, as a DIRECT RESULT of this insane bug and your guys incompetence…and this is your response????

pack it up guys. you’re done.

[大仏の煩悩 @zumi187216]

⚠️コールドウォレットでも、絶対安全ではありません。

ビットコイン専用ウォレット
「COLDCARD」の古いファームウェアに関連する可能性がある流出で、

約1,196アドレスから
合計1,082.65BTC
約110億円相当が抜き取られたと分析されました。

しかも流出は、わずか約41分。

送金手数料がすべて同じで、お釣り用アドレスもないことから、

犯人が事前に秘密鍵を把握し、自動ツールで一斉回収した可能性が高いとみられています。

怖いのは、

「端末を最新版に更新すれば終わり」

ではない可能性があること。

古い環境で生成したシード自体に弱点があるなら、更新後もそのシードを使い続けるのは危険です。

該当する人は、

・公式情報を確認
・ファームウェアを更新
・新しいシードを作成
・新しいウォレットへ資産を移動
・古いシードは再利用しない

コールドウォレットは、ネットから切り離せば無敵ではありません。

シード生成の仕組みに欠陥があれば、資産は抜かれる。

自己管理は自由ですが、同時にすべて自己責任。

110億円が41分で消える。

仮想通貨の怖さを改めて感じる事件です。

合掌🙏

[Hachi @takoyakiweb3]

ビットコイン専用ハードウェアウォレット「Coldcard Mk3」のシードフレーズ（復元用の鍵）生成における欠陥と、それに起因するとみられる大規模な資金流出
取引所も危険、ハードウェアも危険、どこに仮想通貨預ければいいんだ。現金を握りしめる時代が来る?
AI 進化しすぎ問題

[川合林太郎|Tokyo Bitcoin Base代表 @Kawai_prv_ml]

ハードウェアウォレット「Coldcard」に関する大規模なセキュリティ事故が発生し、現在ビットコイン界に大きな衝撃が走っています。以下、初心者向けに分かりやすく論点を整理しました。

短時間のうちに数百〜約1,200のウォレットアドレスから、合計約594〜1,083BTC（当時約3,800万〜7,000万ドル相当）が不正に送金されたとみられています。被害を受けたのは主にシングルシグ（1つの秘密鍵だけで送金できる設定）のウォレットで、多くは長期間動かしていなかったアドレスでした。特徴的なのは、ハードウェアウォレット自体が盗まれたり、誰かに触られたりしたわけではなく、秘密鍵そのものが推測されてしまったことです。

原因は、Coldcardのファームウェアに存在した乱数生成の不具合でした。

ハードウェアウォレットは、初回設定時に「シードフレーズ」と呼ばれる12語または24語の復元用単語を生成します。このシードフレーズは、ウォレット内のすべてのビットコインを管理する「マスターキー」のような存在です。本来は非常に予測困難なランダムな値（乱数）から作られるため、第三者が推測することは現実的ではありません。

しかし、2021年頃に公開された一部のColdcardファームウェアでは、本来利用すべきハードウェア乱数生成器ではなく、予測可能性の高いソフトウェア側の乱数へ切り替わってしまう不具合がありました。その結果、シードフレーズのランダム性が大きく低下し、攻撃者がオフラインで膨大な計算を行うことで、シードフレーズを再現できる可能性が生まれてしまいました。

この問題は主にMk3（および一部Mk2）で確認され、その後の調査ではMk4・Mk5・Qについても同様の問題が指摘され、Coinkiteは緊急アップデートを公開しました。ただし、ファームウェアを更新しても、過去に脆弱な状態で生成されたシードフレーズ自体は安全になりません。そのため、該当するユーザーは新しいシードフレーズを作成し、資金を新しいウォレットへ移動する必要があります。

一方で、BIP39パスフレーズ（25番目の単語のような追加パスワード）を利用していた場合や、サイコロを使って独自の乱数（ダイスロール）を追加していた場合は、この脆弱性の影響を受けにくいと考えられています。

CoinkiteのCEOであるNVK氏は責任を認めて謝罪し、緊急ファームウェアを公開しました。また、この不具合はオープンソースで公開されていたコードをAIが解析したことで発見された可能性があるとの見方も示しています。

この事件を受け、ビットコインコミュニティではいくつかの重要な議論が起きています。

まず、「セルフカストディ（自己管理）が本当に最も安全なのか」という点です。これまで「秘密鍵を自分で管理することが最も安全」と考えられてきましたが、ハードウェアウォレット自体にバグがあれば、ユーザーに落ち度がなくても資産を失う可能性があることが明らかになりました。そのため、ETFや専門カストディサービスを利用する選択肢を再評価する声も出ています。

また、この不具合が約5年間も発見されなかったことも大きな問題視されています。Coldcardはオープンソースであり、多くの開発者がコードを確認できる環境にありました。それにもかかわらず長期間見逃されていたことから、コードレビューやテスト体制の課題、そしてAI時代には攻撃者もAIを活用できるという新たなリスクが浮き彫りになりました。

さらに、この事件は「多層防御」の重要性も示しました。BIP39パスフレーズの追加、ダイスロールによる乱数の補強、マルチシグ（複数の秘密鍵がなければ送金できない仕組み）を利用していれば、被害を避けられた可能性が高いと考えられています。

最も重要なポイントは、「シードフレーズはウォレットのマスターキー」であり、その生成品質が極めて重要だということです。ハードウェアウォレットは非常に強力なセキュリティツールですが、決して絶対に安全というわけではありません。製品の品質だけでなく、ファームウェアの更新や、パスフレーズ・マルチシグなどの追加対策も重要になります。

今回の事件は、「セルフカストディだから絶対に安全」という考え方に警鐘を鳴らすとともに、AI時代におけるオープンソースソフトウェアのセキュリティを改めて考えさせる、大きな転換点となり得る出来事と言えます。

[ルノルミン @lunormin]

今回のCOLDCARD問題の解説記事
素人の自分にもとても分かりやすく書かれてました

大規模なビットコイン流出事件とシード生成の脆弱性について｜知恵の門 @ZInvester https://t.co/T0WllAdsHU

[Shinya Handa🛡️ @Web3Panda]

Coldcardの脆弱性で被害拡大してますね。
1082BTCまで被害額が増えてます。

[周_ｵﾝﾗｲﾝ @shuonline]

@ossan454 今月ってまだ始まってから1日も経ってないよー🥲

[周_ｵﾝﾗｲﾝ @shuonline]

@cab_to_coin @KAGIYA1000B これを振ってシード作ります

[周_ｵﾝﾗｲﾝ @shuonline]

@icchinakka 界隈この話題で沸騰してますね。
今こそシードフレーズオレンジピルの出番です💊

[周_ｵﾝﾗｲﾝ @shuonline]

@M5R3gfPOLMsMK9e いけます。24単語だったら256回トスして下さい😇

[周_ｵﾝﾗｲﾝ @shuonline]

自身の嗜好として規則正しく並んだ物が好きなのかもしれない。

[Jason M @SkinnyAldeer]

#silver #coins This should be fun. Pick your favorite. Some of these sell for a lot other's are just fun and awesome!

[周_ｵﾝﾗｲﾝ @shuonline]

coldcard持ちではないですが、今出張中ですぐにhwwを操作できないことが怖い。
早急な対応が必要な訳ではなさそうだけど、btcの保管に関して再考しなきゃいけない。

[Quinten | 048.eth @QuintenFrancois]

The Coldcard bug explained in simple terms:

Normally, a hardware wallet generates your 12 word seed phrase using true randomness.

Think of it like a lottery with roughly 340 undecillion possible tickets (that’s a 340 followed by 36 zeros). Every ticket has an equal chance of being picked, making the odds of guessing your seed essentially zero.

The bug didn’t shorten the 2,048-word BIP-39 word list. It changed how the wallet picked the words.

Instead of choosing from the entire lottery, the wallet kept picking from the same tiny corner because the “random” numbers were partially predictable from things like the device’s ID and timing.

Imagine that instead of 340 undecillion possible combinations, your wallet accidentally chose from only a few billion. That’s still a huge number, but astronomically smaller than what Bitcoin’s security is designed to provide.

Your seed phrase still looked completely normal. The words came from the same 2,048-word list. Nothing looked suspicious.

But for an attacker, the search space became millions of trillions of trillions of times smaller.