Coldcardハッカー、盗難ビットコインの移動開始　THORChain経由でイーサリアムへ変換

Wave 3の盗難資金が初めて元アドレスから移動

Coldcard（コールドカード）ウォレット攻撃の第3波「Wave 3」に関与したハッカーが、盗んだビットコイン（Bitcoin/BTC）の約10％を移動させ、THORChainを通じてイーサリアム（Ethereum/ETH）への交換を試みた。

一連の攻撃で盗まれた資金が元の攻撃者アドレスから直接動いた初の確認事例とされ、これまで動きが確認されていなかったWave 3の資金が移動を開始した。

THORChain経由で約10％を移動、一部スワップは払い戻し

Galaxy Research（ギャラクシー・リサーチ）の調査責任者アレックス・ソーン（Alex Thorn）氏によると、攻撃者は2026年9月3日（木曜日）、盗難ビットコインの約10％を移動させ、THORChainを通じてイーサリアムへの交換を試みた。THORChainは、異なるブロックチェーン上のネイティブ資産を直接交換できるクロスチェーンプロトコルだ。

COLDCARD WAVE 3 HACKER SWAPS FUNDS TO ETH VIA THORCHAIN

the wave 3 exploiter has moved stolen funds for the first time, swapping to ETH them through the THORChain cross-chain DEX

these are the first funds from wave 1, 2, or 3 to move onchain from the original hacker addresses pic.twitter.com/jjOrX5wBR9

— Alex Thorn (@intangiblecoins) September 2, 2026

ただし、一部のスワップでは繰り返し払い戻しが発生し、その後も攻撃者は交換を試みている。払い戻しの正確な理由は確認されていない。

研究者らは、資金をTHORChainから新たなイーサリアムアドレスまで追跡しており、ソーン氏は関連情報を法執行機関や仮想通貨企業に共有したとしている。

36Cryptoによると、THORChainへの入金にはOP_RETURNメモと0ベーシスポイントのアフィリエイトタグ「sto」が含まれていた。また、Wave 3の最初の支出では2対2のマルチシグネチャ構造が確認され、その後の送金でも同様の構造が使われていた。

現時点では、ウォレットの管理者や各取引を生成したソフトウェアまでは特定されていない。

Coldcard攻撃では少なくとも1,789ビットコインが被害

今回の資金移動の背景には、Coldcardの一部ウォレットにおけるシード生成の欠陥を悪用した一連の攻撃がある。Galaxy Researchは、8,865件のアドレスで少なくとも1,789ビットコインの損失を確認しており、盗難当時の価値は約1億1,470万ドル（約178.8億円）に達したとしている。

問題となった旧ファームウェアでは、一部の秘密鍵が予測可能になる欠陥があり、攻撃者が影響を受けたビットコインアドレスを乗っ取ることが可能だったとされる。Coldcardを運営するCoinkite（コインカイト）は、影響を受けたユーザーに資金の移行を案内している。

ブロックチェーンセキュリティ企業CertiKは8月、この攻撃に関連する64BTCと200ETHがTornado Cash（トルネードキャッシュ）を含む仮想通貨ミキサーへ送られたことも報告していた。

今回、Wave 3の資金が実際に動き始めたことで、追跡対象はビットコインネットワークだけでなくイーサリアム側にも広がった。ソーン氏が確認した時点では、Wave 3で盗まれた資金の約90％は元のウォレットアドレスに残されており、残る資金が今後どのように動くかが焦点となっている。