法的手続きへの対応でデータ空欄化を一時停止
ビットコイン（Bitcoin）のハードウェアウォレット「コールドカード（COLDCARD）」を開発するコインカイト（Coinkite）が、7月30日に公表したセキュリティインシデントへの対応として、顧客データの保持方針を一時的に変更したことを8月7日に発表した。
コインカイトは通常、顧客記録を120日後に自動的に空欄化し、メールアドレスと居住国のみを保持する運用を採用している。また、商品の配送後には、利用者が希望すれば120日を待たずにデータの空欄化を依頼できる仕組みも提供してきた。
しかし今回のセキュリティインシデントを受け、同社は自動的なデータ空欄化を一時停止した。現在進行中または今後想定される法的手続きに関連する可能性がある記録を保存する法的義務が生じたためだという。このため、通常であれば空欄化される顧客記録も当面保持するとのこと。
コインカイトは、今回の対応がこれまで公表してきたデータ保持方針からの変更になると説明している。一方、従来のデータ保持方針の適用を希望する顧客については、今回の措置の対象外とする。従来方針の適用を希望する場合は、同社のサポート窓口へ連絡するよう案内している。
コインカイトは、保持した顧客データを安全に保管し、アクセスを許可された担当者のみに制限すると説明した。また、保存したデータは法的義務への対応以外の目的では利用しないとのこと。法的に許可され次第、通常のデータ空欄化を再開する予定だという。
今回の方針変更の背景には、コールドカードのシードフレーズ（Seed Phrase）生成時に、十分な乱数（エントロピー）が確保されなかった不具合がある。コインカイトは7月30日、この不具合により、攻撃者が候補となるシードフレーズを再現し、そこから秘密鍵を導出できる可能性が生じたことを公表した。同社は影響を受ける利用者に対し、修正版ファームウェアを導入した後に新しいシードフレーズを生成し、資金を移動するよう呼びかけた。ファームウェアの更新だけでは、既存のシードフレーズの脆弱性は解消されない。
コインカイトは、今回の不具合に関連して利用者の資産が盗まれた事案が発生したことを認めている。またブルームバーグは8月7日、同社が影響を受けた顧客への支援に注力していると説明したと報じた。一方、同社は被害者への補償方針について明らかにしていない。
なお、デジタル資産企業ギャラクシー（Galaxy）の調査部門ギャラクシー・リサーチ（Galaxy Research）は日本時間8月15日、被害者からの報告などに基づき、1,778.84BTC（約1億1,270万ドル、約179億円）が8,600超のアドレスから盗まれたことを非常に高い確度で確認したと公表した。中程度の確度の事例と未確認の「第4波」を含めると、被害は2,417.35BTC（約1億5,300万ドル、約243億円）に達する可能性があるという。一方、コインカイトはこれまでの公式発表で、今回の被害規模について具体的な数字を明らかにしていない。
Update on Customer Data Retention
— COLDCARD (@COLDCARDwallet) August 7, 2026
We want to inform our customers of a change to our data-handling practices in connection with the security incident disclosed on July 30, 2026.
As many of you know, our standard practice has been to automatically blank customer records after…
$111 MILLION CONFIRMED STOLEN SO FAR IN COLDCARD EXPLOIT
— Galaxy Research (@glxyresearch) August 7, 2026
Thanks to victim reports, we can confirm with high confidence that 1719 BTC has been stolen from Coldcard victims so far
We have many more coins we are vetting for confirmation – we think total losses likely exceed $130m pic.twitter.com/pLfiMQZFyX