Galaxyの研究部門は現在、Coldcardハードウェアウォレットに関連する確認済みビットコイン盗難被害が1億ドルを超え、3つの独立した攻撃波に分散していると試算しています。この数値は、今年最も注目されているセルフカストディ関連のセキュリティ事件の一つとして重大なエスカレーションを示すものであり、ビットコインコミュニティにとって不都合な現実を浮き彫りにしています。オフラインでの鍵保管を目的として設計されたデバイスでさえ、悪用可能な脆弱性を抱えている可能性があるということです。

Galaxyの修正された試算

同社の調査結果に関する報道によると、Galaxyの研究部門は確認済みの被害を、単一の継続的な攻撃ではなく3つの独立した攻撃波に分類しています。1億ドルという合計は、Galaxyの以前の分析から大幅な増加を示しており、以前の分析では追加の被害ウォレットが特定・追跡されるにつれ、Coldcardの被害試算を7000万ドルに引き上げていました。

Galaxyは確認済みの盗難と、まだ量化されていないより広範な疑わしい被害とを明確に区別しています。修正された数値は検証済みの事例のみを反映しており、影響を受ける可能性のあるユーザーの全容ではありません。

ビットコイン保有者にとってその重要性は極めて大きいものです。Coinkiteが製造するColdcardは、セルフカストディのセキュリティを目的として特別に販売されている広く普及したコールドストレージデバイスです。同製品の魅力は長らくエアギャップ設計に基づいてきました。つまり、デバイスはインターネットに直接接続せずに動作するように構築されており、リモート攻撃への露出を最小限に抑えることを目的としています。単一のハードウェア製品ラインに集中した確認済みの9桁の被害は、侵害がどのように発生したか、そして追加のユーザーが依然としてリスクにさらされているかどうかについて切実な疑問を提起しています。Mt. GoxやFTXなどの主要な取引所の崩壊が中央集権的なプラットフォームへの信頼を損なった後、Coldcard、Ledger、Trezorなどのメーカーのハードウェアウォレットはセルフカストディの黄金標準として広く推奨されてきたため、この事件はより広範なセルフカストディの展望において特に重大な意味を持ちます。

3つの攻撃波とシード生成の脆弱性

Galaxyの分析では確認済みの盗難を3つの波に分類していますが、概要には正確な日付、時系列的順序、個々の波の背後にある攻撃者の具体的な手口は記載されていません。

これらの事件を結びつける共通の糸はシード生成に関するものです。CoinkiteはMk3シード生成に関する警告を公開しています。シード生成とは、ウォレットのリカバリーフレーズが作成されるプロセスのことです。ウォレットのシードフレーズはマスターキーとして機能し、それを再構築または予測できる者は誰でも関連する資金を完全に支配できるようになります。シード生成の脆弱性は、攻撃者がデバイスへの物理的アクセスやユーザーとのフィッシングのやり取りを必要とせずに、ユーザーの資金を保護する暗号鍵を再構築できる可能性を示唆しています。

依然として不明なのは、3つの波がそれぞれ具体的な手法、タイミング、または攻撃グループにどのように対応するかです。これらの技術的な詳細は入手可能な証拠では明記されておらず、GalaxyとCoinkiteが公式に述べた範囲を超えて推測されるべきではありません。

市場の反応と業界の対応

この事件はすでに市場行動に観察可能な影響を及ぼしています。CoinDeskの報道によると、投資家にビットコインの取引所からの引き出しを促したFTX崩壊とは異なり、Coldcardの攻撃により一部の投資家はビットコインを取引所に送り返し、典型的なセルフカストディの動向を逆転させました。この逆転は注目に値します。一部のユーザーがセルフカストディと取引所カストディの相対的リスクをどのように評価しているかの変化を反映しているからです。CoinDeskは8800万ドルの数字を基準として報じています。

Galaxyはまた、研究分析にとどまらず、この事件に関連して500万ドルのビットコインセキュリティ基金を立ち上げ、具体的な行動をとりました。

デバイスセキュリティとユーザー過失の区別に関する含意

この事件における重要な区別は、確認済みの被害が個々のフィッシング攻撃やユーザーによる鍵の不適切な取り扱いではなく、デバイス自体での鍵の生成方法と明らかに関連している点です。これは責任の所在をユーザーの過失単独ではなく、ハードウェアおよびファームウェアのプロセスに向けている、ということを示しています。この区別は、ハードウェアウォレット業界とその顧客がリスクを評価し対応する方法において重要な意味を持ちます。

現在のまたは将来のColdcardユーザーにとって、実践的なガイダンスはシード生成の警告に集中しています。影響を受ける可能性のあるデバイスを使用しているユーザーは、ウォレットの検証または再生成に関するCoinkiteの公式推奨事項に従うべきです。

確認済み被害の規模、つまり単一のハードウェアウォレット製品ラインに集中し3つの独立した波にわたる9桁の合計は、この事件を今年文書化された中最も重大なセルフカストディセキュリティ事件の一つに位置づけ、より広範なハードウェアウォレットエコシステム全体におけるシード生成プラクティスに対する継続的な精査を強めるものです。

本記事は情報提供のみを目的としており、金融または投資アドバイスを構成するものではありません。