ColdcardのメーカーであるCoinkiteは、seed生成の不具合に対応してBitcoinハードウェアウォレット向けの包括的なセキュリティ更新を公開した。この不具合により、攻撃者は$100 million超のBitcoinを盗むことができ、被害額はその後およそ$130 millionまで拡大した。

Thursdayのブログ投稿で、CoinkiteはColdcard Mk4、Mk5、Qの利用者にfirmware 5.6.1または1.5.1Qへの更新を促した。今回のリリースは、Kimiを含むAIモデルや外部のセキュリティ研究者を招いて実施されたColdcardシステムの3週間にわたるレビューを踏まえたものだ。

「過去数週間にわたり、問題の報告、境界事例の再現、修正内容の確認において期待以上の対応をしてくれたセキュリティ研究者の皆さんに感謝します」と同社は述べた。「彼らの作業により、このfirmwareは集中的かつ継続的な検証にさらされ、今回のリリースはより強固なものになりました。」

脆弱性の仕組み

7月、攻撃者は2021年にさかのぼるfirmwareの脆弱性を悪用し、air-gappedのColdcardウォレットからBitcoinを流出させ始めた。このバグにより、ウォレットのprivate keysの元となるランダム生成フレーズである一部のwallet seedが十分なランダム性を持たずに生成され、private keysを推測しやすくなっていた。この侵害は、ネットワーク接続されたコンピューターからprivate keysを完全に切り離すことを売りにしてきた同製品の根幹を揺るがしたが、欠陥により攻撃者はハードウェアに一切触れることなく資金を奪えた。最初の攻撃では、約500のウォレットから594 BTC、約$38 million相当が25分で流出した。

Coinkiteは、攻撃者が自社のオープンソースfirmwareの古い版をAIで調べ、欠陥を見つけた可能性があると示唆した。8月上旬までに、Galaxy Researchは4,585のアドレスにわたって約$88.6 millionの流出を追跡し、攻撃は意図的かつプログラム的で、大規模言語モデルを使って調整された可能性があると述べた。

その後も同社は損失の追跡を続け、8月14日までに、攻撃者は3回の主要な攻撃波と数十件の小規模な事件を通じて、当時約$112 million相当の1,778 BTC超を盗んだと報告した。

総じて、Coldcardの侵害による盗難Bitcoinは約$130 millionに達し、ウォレット鍵の生成に使われるランダム性であるentropyへの疑問を呼び起こした。影響を受けた一部の端末では、この欠陥によりセキュリティは128 bitsのentropyからおよそ40 bitsへと低下し、端末に物理的にアクセスしなくてもwallet seedを推測しやすくなっていた。

新しいセキュリティ対策

Coinkiteは、transaction signing、USBデータ処理、firmware validation、Delta Mode、wallet backupsに関する問題を修正したと述べた。さらにColdcardは、wallet seedを生成する際に、少なくとも65回のキー入力、50回のdice roll、または128回のcoin flipによるランダム性を追加することを利用者に求めるようになり、端末はこれを自前のランダム性と組み合わせる。

同社はまた、Yasmarangのbackup用疑似乱数生成器をSHA-256 Hash_DRBGに置き換え、hardware random number generatorの失敗を検知するためのチェックを追加した。2021年から2026年7月の間に影響を受けた版でseedを生成した可能性がある利用者は、更新後のfirmwareを使って新しいseedを作成し、Bitcoinを移動する必要があると同社は述べた。

seed生成だけではない

Coldcardは現在、署名前にpartially signed Bitcoin transaction、つまりPSBTを直前に確認する。以前は、USB経由で接続された侵害済みコンピューターが、利用者が確認した後からColdcardが署名する前までの間にtransactionを理論上変更できた。更新後のfirmwareは、transactionに変更があった場合に署名を停止し、警告を表示する。Coinkiteはこの問題を理論上のものと説明し、実際に悪用されたとは述べなかった。

Coinkiteはさらに、USBデータアクセスの制限を強化し、Delta Modeを堅牢化し、Coldcardのwallet backupsの扱いも変更した。

AIは両陣営で使われる

AIは脆弱性修正に役立つ一方で、サイバーセキュリティと暗号技術の両方で攻防の双方に関与している。

「私たちはこれを、ハードウェアウォレットの安全モデル全体がランダム性に左右されるという、重大な警告として受け止めています」と、LedgerのCTOであるCharles Guillemet氏はDecryptに語った。「暗号技術は難しく、安全に実装することはさらに難しい。今週のColdcardの件は、それを最も高価な形で示しました。」

今月初めには、swap serviceのBoltzが、AI支援の攻撃者が開発者よりも速くバグを見つけているとして運用を停止した。また、ボランティアのBitcoin Red TeamもAI agentsを使い、数百のBitcoinプロジェクトにまたがる数千件の潜在的脆弱性を特定した。

Coinkiteは、被害を受けた顧客が新しいwalletへ資金を移しているなか、盗難に関する調査は継続中だと述べた。

「法執行当局は引き続き盗難の捜査を進め、責任者の特定に取り組んでいます」とCoinkiteは述べた。「私たちは支援を続ける用意があり、当局は重要な進展について随時共有してくれています」とし、同社は「移行作業を進めるすべての顧客を、完了するまで支援し続けることに尽力している」と付け加えた。