COLDCARD問題受けセルフカストディの課題に言及
バイナンス（Binance）創業者のチャンポン・ジャオ（Changpeng Zhao：CZ）氏が、ビットコイン（Bitcoin）向けハードウェアウォレット「コールドカード（COLDCARD）」の脆弱性問題を受け、8月1日から8月3日にかけて、セルフカストディ（Self Custody）の課題や資産管理の考え方について自身の見解を相次いで投稿した。セルフカストディとは、暗号資産交換業者などへ資産を預けるのではなく、利用者自身が秘密鍵を管理する資産管理方法だ。
同氏の一連の投稿は、コールドカードで発覚したシードフレーズ生成機能の脆弱性を受けたものとみられる。同日、 乱数生成の不具合により、攻撃者がシードフレーズや秘密鍵の候補を現実的な範囲で探索できる可能性が生じたことで、利用者の資産が流出したことが確認された。秘密鍵とは、暗号資産を送金する際に本人であることを証明するための情報で、第三者に知られると資産を動かされる可能性がある。
コールドカードを開発するコインカイト（Coinkite）は、修正版ファームウェアを公開するとともに、影響を受ける利用者に対し、新しいシードフレーズを生成したうえで資金を移動するよう呼びかけている。
CZ氏は、「ハードウェアウォレットにもバグはある。長い実績を持つ製品でも例外ではない」と投稿した。そのうえで、「対策として資産を複数のウォレットへ分散する方法もある。ただし、それにも別のリスクがある。100%安全な方法はない」と述べ、利用者へ最新情報を確認し続けるよう呼びかけた。
8月2日の投稿では、「開発者がバグを修正しても、過去に生成されたウォレットは安全にならない」と説明した。
さらに同氏は、インターネットへ接続しない「エアギャップ（Air-gapped）」設計のハードウェアウォレットでは、開発元がエアギャップ端末の利用者へ直接連絡する手段はなく、利用者自身が新しいウォレットへ資産を移す必要があると指摘した。エアギャップとは、端末をインターネットから切り離して利用する仕組みだ。
そのため同氏は、「利用者自身が対応するまでウォレットは攻撃対象になり続ける」としたうえで、「私はセルフカストディを支持している。しかし、それは利用者自身が責任を負うことも意味する」との考えを示した。
8月3日の投稿では、シードフレーズの管理そのものの難しさについても言及した。
シードフレーズは、ウォレットを復元するための12語や24語などで構成されるバックアップフレーズだ。第三者がこのフレーズを入手すると秘密鍵を再生成できるため、資産を動かされる可能性がある。一方、利用者自身が紛失した場合はウォレットを復元できなくなる。
同氏は、「シードフレーズの保管は難しい。他人に見られてもいけないし、火災や洪水などで失われてもいけない。ハッカーにアクセスされてもいけない。そして何より、自分自身が失くしてはいけない」と投稿した。
CZ氏は、過去にトラストウォレット（Trust Wallet）でも同様の乱数生成問題が発生し、影響を受けた利用者へ補償を実施した事例にも触れた。 ・同氏は、トラストウォレットが影響を受けた利用者へ補償を実施したことを紹介したうえで、「ソフトウェアにバグは付き物だ。重要なのは、その背後にいる開発者や運営者だ」との考えを示している。
ハードウェアウォレットの安全性巡る議論は以前から
ハードウェアウォレットは、暗号資産を動かすために必要な秘密鍵を専用端末内で保管し、インターネットから切り離して利用できることから、セルフカストディの代表的な手段として利用されている。
その一方で、ハードウェアウォレットの安全性や運用方法を巡っては、今回のコールドカード問題以前から議論が続いていた。
7月には、暗号資産のハッキング事件などを追跡するオンチェーン調査員のザックXBT（ZachXBT）氏が、重要な取引への署名や資産保管にはハードウェアウォレットを利用せず、暗号資産管理専用のiPhoneを使用する方が望ましいとの見解を示した。これは、普段使いには利用せず、暗号資産の管理だけを目的とした専用端末としてiPhoneを運用する考え方だ。
これに対し、ハードウェアウォレット「トレザー（Trezor）」を展開するサトシラボ（SatoshiLabs）グループ傘下トレザーの最高商務責任者（CCO）、ダニー・サンダース（Danny Sanders）氏は、高額資産を管理する一部利用者では異なる構成が適する場合もあるとしつつ、一般的な利用者にとってはハードウェアウォレットが依然として最も強力なセルフカストディ手段だと反論した。
今回の一連の投稿では、「100%安全な保管方法は存在しない」との考えや、セルフカストディでは利用者自身の対応が重要になるとの認識をCZ氏は示した。
Even hardware wallets can have bugs. Even old wallets (with long history) can have bugs.
— CZ 🔶 BNB (@cz_binance) August 1, 2026
How to mitigate? Split your funds in a few wallets maybe? This has a different set of risks. Nothing is 100%.
Stay informed. Stay SAFU! https://t.co/9CHiNlbJbz
This is sad!
— CZ 🔶 BNB (@cz_binance) August 1, 2026
You may or may not know, @TrustWallet faced this exact same bug years ago, a pseudo-random number generator, ie, not truly random, $12m in losses. They covered every user.
Software will always have bugs. What matters is who’s behind it. https://t.co/XXGOQ6meq0
The thing is, with self custody, devs patching the bug won’t fix previously generated wallets. And devs have no way to reach users on air-gapped devices. Your wallet stays open to hackers until you act.
— CZ 🔶 BNB (@cz_binance) August 1, 2026
I’m a believer in self custody, but it puts the burden on you. https://t.co/0n9F24erxz
Securing the backup seed phrase is hard.
— CZ 🔶 BNB (@cz_binance) August 2, 2026
Can’t have someone else read it and say, “oh, that’s a nice seed phrase”.
Can’t have it destroyed by fire, flood, etc.
Can’t have a hacker gain access to it.
And most importantly, can’t lose it yourself. https://t.co/bSD1wO70Dp
画像：Reuters