Galaxyによると、少なくとも15人の攻撃者がColdcardの脆弱性を悪用
重要ポイント
- •Galaxy Digitalは、Coldcardの脆弱性を少なくとも15人の異なる攻撃者が悪用したとみている。
- •新たな被害報告により、中央集権型取引所の侵害より追跡が難しい攻撃が特定された。
- •Galaxy Researchは、確認済み3回の攻撃波による損失を1億ドルと見積もり、4回目の波があれば損失が約1億3000万ドルのBitcoinに達する可能性があるとしている。
- •このエクスプロイトは、コールドストレージウォレットの安全性と、ユーザーが自分でBitcoinを保有することの是非をめぐる議論を再燃させた。
- •AIの役割をめぐっては見方が分かれ、一部はモデルが短時間で脆弱性を再発見したとし、他方ではテスト時点ですでに脆弱性が公開済みだったと指摘した。
Galaxy Digitalの調査責任者Alex Thornによると、Coldcardの脆弱性は少なくとも15人の異なる攻撃者に悪用された。Thorn氏は、事件後に寄せられた新たな被害報告を挙げた。
Thorn氏は火曜日、追加の報告によって、通常であれば把握されなかったであろう攻撃者をGalaxyが特定できたと述べた。というのも、このエクスプロイトの性質は中央集権型取引所へのハックとは異なり、損失や活動を単一の障害点から追跡しやすいものではなかったためだ。
「盗まれたBTCが1 BTC未満だった1人の被害者の報告だけで、126のアドレスから12 BTCが流出した新たな攻撃を特定した」と、Thorn氏は火曜日のX投稿で書いた。
Galaxy Researchによると、Coldcardのエクスプロイトによる損失は、3回の確認済み攻撃波にわたって1億ドルに達した。同社はさらに、総損失をBitcoin（BTC）で約1億3000万ドルに押し上げる可能性のある疑いのある4回目の波も特定している。
この継続中の攻撃は、コールドストレージウォレットの安全性や、ユーザーが自らBitcoinを保有するほうが安全なのかという議論を再び呼び起こした。また、被害資金が1つのプラットフォームに集中しているのではなく多数のアドレスに分散している場合、事後の被害報告がエクスプロイトの範囲をどのように変えうるかも示している。
Dragonflyのマネージングパートナー、Haseeb Qureshi氏は、ソーシャルメディア上の報告を引用し、一部のAIモデルが20分未満で脆弱性を再発見したことから、約「2ドル分のAI強化」でColdcardのエクスプロイトは防げた可能性があると書いた。
Qureshi氏の発言は、Claudeがわずか8分で脆弱性を再生成できたと主張する複数のSNSユーザーへの प्रतिक्रियाだった。氏は、これらの結果はウェブ検索の影響を受けていた可能性があるとし、オープンソースAIモデルのGLM 5.2はウェブアクセスをオフにした状態で20分で攻撃を再発見したと付け加えた。
しかし、AIモデルが公開前にこの脆弱性を独自に発見していた可能性は低いと、暗号資産分析プラットフォームTokenomistのデータ責任者Tatsapat Saerejittima氏はCointelegraphに語った。氏は次のように述べた。
「AIが2分で見つけたという主張は、脆弱性がすでに公開された後にコードをスキャンした匿名のRedditユーザーに由来します。ブラインドテストも、文書化された方法論も、モデルの偽陽性率の評価もありませんでした。」
暗号資産調査会社Castle Labsの共同創業者Francesco氏は、AIモデルの能力向上により、新たな暗号資産の脆弱性を見つけるためのコストと時間が大幅に下がっていると述べた一方で、Coldcardの秘密鍵の設定が脆弱性に関与した可能性があると付け加えた。
Coldcardは、「他のウォレットで採用されている標準（12ワードのシードは128ビット）よりもはるかに低い秘密鍵エントロピー（40ビット）のレベル」を使用しており、その結果はファームウェアのバグによるもので、作業を容易にしたと同氏はCointelegraphに語った。
Cointelegraphが姓を使用しないよう求めたFrancesco氏は、AIモデルがより高性能になり、サイバーセキュリティとエクスプロイトの両面でより広く使われるようになるにつれて、バグ発見のコストは今後も下がり続けると予想している。