広く利用されているビットコインハードウェアウォレット「Coldcard」の重大なソフトウェア欠陥により、攻撃者が1時間以内に約7,000万ドル相当のビットコインを盗み出した可能性があり、セキュリティ研究者およびデバイスメーカーから緊急の警告が発せられた。

Forbesが最初にこの攻撃を報じた。Galaxy Researchの研究者によると、7月30日に攻撃者はわずか41分で1,196のデジタルウォレットから1,000ビットコイン以上を流出させた。その後、Galaxyはさらなる2件の疑わしい活動を特定し、推定総損失額は約8,900万ドルにまで上昇した。

Galaxyは、同社の調査結果がブロックチェーン分析に基づくものであり、影響を受けたすべてのウォレットが脆弱性のあるソフトウェアを使用して作成されたことを確認できていないと注意を促した。

Coldcardはカナダの企業Coinkiteが製造する携帯型デバイスで、暗号通貨投資家が暗号通貨取引所に預ける代わりにビットコインをオフラインで保管するために使用している。「ハードウェアウォレット」と一般に呼ばれるこのデバイスは、ハッカーがインターネット経由でユーザーのビットコインにアクセスすることを防ぐよう設計されている。ハードウェアウォレットは、秘密鍵をインターネットに接続されたデバイスから切り離して保持するため、暗号通貨を保管する最も安全な方法の一つとしてセキュリティ専門家によって広く推奨されており、この種の脆弱性は業界内で特に注目されている。

Block社のBitcoin Engineering and Securityチームによるセキュリティ勧告によると、Coldcardの特定バージョンのファームウェアにコーディングエラーがあり、ウォレットの主要なセキュリティ機能の一つが弱体化していた可能性がある。Block社は、このバグにより一部のリカバリーフレーズが特定の状況下で高度な攻撃者にとって推測可能になり、デバイスへの物理的なアクセスなしにビットコインの盗難が可能になった可能性があると述べた。リカバリーフレーズ（シードフレーズとも呼ばれる）は、ウォレットに保管されている資金への完全なアクセスを付与するマスターキーとして機能する単語の並びである。これが侵害された場合、使用する物理デバイスやソフトウェアに関わらず、攻撃者は関連するビットコインを制御できる。

Block社は、攻撃が現在も進行中であると考えているため調査結果を公表したと述べたが、研究者らは脆弱性がどのように悪用されているかについて正確な調査を続けていると留意した。

Coinkite社は、新しく作成されるウォレットへの影響を防ぐためのソフトウェアアップデートをリリースした。しかし同社は、単にアップデートをインストールするだけでは、影響を受けたファームウェアを使用してすでにリカバリーフレーズを生成したユーザーを保護できないと警告した。

「ファームウェアをアップデートしても、影響を受けたファームウェアで生成されたシードは修復されません」とCoinkite社はセキュリティ勧告で述べた。「新しいシードを生成し、資金を新しいウォレットに移行する必要があります。」

Coinkite社はまた、同じリカバリーフレーズを別のウォレットにインポートしても脆弱性は解決されないと警告した。弱点は物理デバイスではなく、リカバリーフレーズ自体に紐づいているためである。

Coinkite社のCEOであるRodolfo Novak氏はXで公開謝罪を行い、同社が「心を痛めている」ことと、ファームウェアのバグについて「全面的な責任を負う」ことを表明した。

「申し訳ありません。打ちのめされた思いです」とNovak氏は書き込んだ。「私たちのチームは昨日のニュースに心を痛めています。」

Novak氏は顧客に即時の行動を促した。「Coldcardウォレットでシードを生成した方は、詳細をお読みになる前に、今すぐ更新されたベストプラクティスを使用して資金を移動してください。」

また、より広いコミュニティに対しても警告の拡散に協力するよう呼びかけた。「Coldcardを所有している方を知っている場合は、ぜひこの情報を確認してもらってください。影響を受けたユーザーの中には今すぐソーシャルメディアを確認していない方がいる可能性があり、一時間ごとの対応が重要です。」

Novak氏は、Coinkite社が影響を受けたユーザーの正確な数を特定するため現在も作業を続けており、調査完了後に詳細な技術的説明を公開する予定であると述べた。「現時点では問題の完全な属性や範囲は把握できておらず、完全な技術評価が完了するまでは推測は行いません」と同氏は書いた。

同社は、警察への被害届や保険請求を希望する影響を受けた顧客の支援を行っており、ブロックチェーン調査機関や法執行機関にも協力していると述べた。

警告は暗号通貨業界全体に急速に広まった。Jan3のCEOであるSamson Mow氏はXで次のように書き込んだ。「COLDCARDを使用している方は、すべてのファームウェアバージョン、MKに関わらず、今すぐ資金を移行してください。使用している方を知っている場合は、できるだけ早く知らせてください...攻撃は継続中ですので急いでください。」

初期の勧告は旧型のColdcardデバイスに焦点を当てていたが、Coinkite社はその後、影響を受ける製品リストを追加のモデルやソフトウェアバージョンを含むよう拡大した。同社は、少なくとも50回のプライベートダイスロールを使用してリカバリーフレーズを生成した顧客は、この特定の欠陥単独では影響を受けないと記載した。それでもCoinkite社は、ウォレットの設定方法が不明な場合は、予防措置として新しいリカバリーフレーズを作成し、資金を移行することを推奨している。

Block社は、自社の製品や顧客はこの脆弱性の影響を受けていないと強調した。同社は、匿名のセキュリティ研究者と協力し、Coldcardユーザーからの報告を受けた後に調査結果を公表したと述べた。

別件で、Jack Dorsey氏のBitkeyウォレットの開発者は、自社製品に関する別の報告された問題を調査しているが、顧客にウォレットの使用を中止するよう助言していないと述べた。

「推奨事項は、通常通りBitkeyを使い続けることです」とBitkey開発者のClay Garrett氏はXに書き込んだ。Garrett氏は、報告された問題を悪用するには「例外的な状況」が必要であり、攻撃者に顧客の資金を盗むのに十分な情報は提供されないと述べた。「当社の評価では、リモートでの資金流出や即時の資金喪失のリスクはない」と付け加えた。

FOX BusinessはCoinkite、Galaxy Research、Block、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、FBI、カナダ王立騎馬警察（RCMP）、カナダ・サイバーセキュリティセンター、Chainalysisにコメントを求めたが、即座に回答は得られなかった。