お読みになる前に：
Ledgerは、最近公開されたColdcard Mk3のアドバイザリーの影響を受けません。
Ledgerデバイスは、セキュアエレメントチップに直接構築された、認定済みの真の乱数ジェネレーター（TRNG）を使用しており、すべての24単語のシークレットリカバリーフレーズに対して完全な256ビットのエントロピーを生成します。 詳細については、こちらの記事をご参照ください。
CoinKiteは、特定のColdcard Mk3ファームウェアバージョンに関するセキュリティアドバイザリを公開しました。同社の通知はこちらからお読みいただけます。
Coldcardのインシデント：ランダム性の基盤
2026年7月31日、Coldcardはファームウェアのバグにより一部のデバイスにおけるシードフレーズの生成方法が弱体化し、多大なユーザー損失を牽引したと報告しました。 2022年後半、Ledger DonjonはTrustウォレットのブラウザ拡張機能において同様の脆弱性を発見しました。
このバグにより、拡張機能で作成されたすべてのウォレットが、パブリックアドレスから復元可能になりました。 実際には、攻撃者はユーザーの操作なしに秘密鍵を割り出して資金を盗み出すことが可能でした。 探索空間は十分に小さく、ブルートフォースが可能でした。
Donjonは、責任を持ってこの問題を報告しました。 Trustウォレットは、脆弱性が公表される前に、ソフトウェアのパッチ適用と、ユーザーが資金を移行するための時間の確保に約5か月を費やしました。 そのプロセスは、エコシステムがこれまでに経験した最大級のウォレット情報漏洩の1つを、まさに未然に防いだのです。
暗号学は困難です。 それを安全に実装することは、さらに困難です。 そして、ほとんど誰も気に留めない「高品質な乱数の生成」という部分こそが、すべての成否を分けるのです。 今週のColdcardのインシデントは、最も大きな代償を払う形でそれを浮き彫りにしました。
2022年末、@DonjonLedgerはTrust ウォレットのブラウザ拡張機能に同様の脆弱性を発見しました。
— Charles Guillemet (@P3b7_) 2026年8月1日
このバグにより、拡張機能によって作成されたすべてのウォレットが、そのパブリックアドレスから復元可能になりました。 実際には、攻撃者が秘密鍵を割り出して資金を盗み出すことが可能でした…
Coldcard：今日の状況がどのように異なるか
何が破綻したのか。 所有するすべての秘密鍵は、1つの数値：シードから割り出されます。 もしその数値が予測可能であれば、そこから割り出されるすべてのものも同様に予測可能となります。 Coldcardのファームウェアは、専用のハードウェアRNGからそのシードを取得するはずでした。 しかし、実際にはそうされませんでした。 設定マクロが定義されているかどうかがガードによって確認され、有効化されているかどうかは確認されなかったため、構築はチップのシリアル番号とタイマーからシードを得るソフトウェアジェネレーターへと、暗黙的にフォールバックしました。これらは攻撃者が再構築可能な価値です。
古いデバイスは事実上決定的であり、現在のデバイスは32ビット（約40億通りの可能性）付近に制限されていました。 128ビットと謳われていたシード空間は、列挙可能なレベルにまで崩壊してしまいました。 研究者の推定によると、2021年3月から公開コードに存在していた欠陥により、約1,200のウォレットから1,000 BTC以上が流出しました。 デバイスに触れる必要はまったくありませんでした。
質の悪いRNGは音もなく機能します。 出力は依然としてランダムに見え、簡易的な検査をパスします。 木曜日の21:56、他の誰かがオンチェーンでその問題を発見したのと同時に、あなたもその問題を知ることになります。 だからこそ、ランダム性は、フォールバックパスを備えたソフトウェアの利便性であってはならないのです。 それは、第一級のセキュリティ機能として設計、測定、そして認定されなければなりません。
Ledgerにおける取り組み。 当社は、真のハードウェアRNGを含む最高の暗号プリミティブにアクセスできるよう、認証済みのセキュアエレメントをベースに構築しています。 TRNGは数式ではなく物理現象です：シリコン上のカオスな物理現象をレバレッジして正規のエントロピーを生成するため、推測すべきシードは存在しません。 セキュアエレメントには、故障や不正操作を監視するハードウェア検出器、環境センサー、アクティブシールド、グリッチおよび電圧検出機能が組み込まれています。 例えば、極端な温度はノイズ源を劣化させる可能性があるため、ハードウェアは、弱いエントロピーを静かに郵送するのではなく、それを検知するように構築されています。 また、生のエントロピーが直接使用されることはありません：この低スループットのソースは、Ledger OS内でのクリプトグラフィックな後処理に入力されます。 エントロピーには物理学を、その調整には暗号学を。
ランダム性はすべての基盤
— Charles Guillemet (@P3b7_) 2026年8月1日
暗号学は困難です。 それを安全に実装することは、さらに困難です。 そして、ほとんど誰も気にとめない部分、すなわち高品質な乱数の生成こそが、すべての成否を分ける鍵となります。
今週のColdcardのインシデントは、最も代償の大きい形でそれを浮き彫りにしました… pic.twitter.com/Sj55VtvPg1
認証と、その意味について。 主張するのは簡単です。 認証とは、サードパーティがこちらの主張を覆そうと試みるプロセスです。 当社のTRNGは、AIS-31に基づいて評価され、PTG.2として認定されています。 AIS-31は、出力に対するテストだけでなく、ノイズ源の確率論的モデルを含む、真の物理乱数生成器の評価方法を定義する、コモンクライテリア制度内で使用されるドイツBSIの評価手法です。 セキュアエレメントは、EAL5+/EAL6+のコモンクライテリア認証を取得しています。 そして、LedgerデバイスはANSSIの第一レベルの制度であるCSPNの認証を受けており、乱数生成の品質が明確にその対象に含まれています。 Coldcardを襲った正確な障害である「偏りのある、または決定論的な乱数の生成」は、公開されている当社のセキュリティ目標において「脅威 #1」として記載されており、TRNGはそれに対処するセキュリティ機能です。
クローズドソースについては、正直なところ。 Ledger OSのこの部分はクローズドソースです。 このセキュアエレメント技術へのアクセスには、低レベルの実装を非公開のままにするという、ベンダーからの厳しい要件が伴います。 私たちはオープンソースを支持していますが、この特定のレイヤーにおいて、最高レベルの認定セキュリティとオープンソースの哲学のどちらかを選択するにあたり、セキュリティを選択しました。そして、それは今でも正しい決断だったと考えています。
クローズドソースだからといって監査されていないわけではありません：当社のコードは複数の独立したベンダーによる定期的な評価を受けており、継続的に認定を取得しています。 セキュリティは隠蔽に依存してはならない、その原則は揺るぎません。
しかし、クローズドソースが攻撃者による脆弱性調査のコストを引き上げることもまた事実です。 どちらも同時に真実です。 攻撃者がAIを使用して発見したとされるまで、公開コード内に5年間も放置されていたバグは、「オープン」と「レビュー済み」が同義ではないことを改めて思い知らせてくれます。
そのAIの視点は、単なる脚注ではありません。社内では、自社製品の脆弱性を探すためにLLMを多用しており、実際に非常に効果的です（この件に関する素晴らしいブログ記事をお読みください）。
攻撃者はすでに、これをマシンスピードで実行しています。 攻撃者よりも先に、私たちもそれを行います。 当社の取り組みについては、まもなく詳細をお知らせします。
だからといって、私たちが影響を免れるわけではありません。 これにより、まさに今発生したような種類の障害に対して、私たちが測定可能であり、監視され、認定されている状態になります。 クリプトグラフィックな保証は、常に社会的信用に勝ります。 予測不可能なシードは、「ランダムである」という約束に勝ります。
現代のLLMにより、脆弱性の再発見、パッチの理解、エクスプロイトパイプラインの構築が劇的に容易になりました。 “パッチ適用”と”兵器化”の間の期間は短くなっています。
責任ある開示は依然として不可欠ですが、脆弱性管理も進化する必要があります。 より迅速なパッチ適用、より短い開示スケジュール、そして有能なAI支援を受ける攻撃者を想定した移行戦略は、今や任意の改善策ではなく、セキュリティモデルの一部となっています。
Charles Guillemet、Ledger CTO