報告されたBitcoin盗難に関連したシード生成の欠陥を受けたファームウェア修正

ColdcardハードウェアウォレットのメーカーであるCoinkiteは、シード生成の欠陥が報告されたBitcoin盗難に関連していることが判明したことを受け、新ファームウェアをリリースした。今回の件は、攻撃者がすべてのColdcardデバイスを遠隔でロック解除したというものではなく、一部のリカバリーシードが作成された方法に関わるものである。現行の標準リリースは、Mk4/Mk5ファームウェア5.6.1およびColdcard Qファームウェア1.5.1Qである。

デバイスのアップデートだけでは不十分な理由

2021年のコード移行の際、シード生成がColdcardが意図していたハードウェア乱数生成器ではなくソフトウェアの疑似乱数生成器に到達し、一部のシードに十分なランダム性が欠ける状態となった。Coldcardの推定では、影響を受けたMk2およびMk3のシードの実効的な探索空間は約40ビットだった可能性があり、後のMk4、Mk5、Qモデルはセキュアエレメントから追加のエントロピーを受けたため、暫定推定値は約72ビットに上るという。いずれも同社の128ビットという目標には達していなかった。

ファームウェアのダウンロードは、次に作成されるシードに使われるプロセスを変更できるが、脆弱なシードからすでに導出された秘密鍵を変更することはできない。したがって、影響を受けた保有者への対策は3つの部分で構成される。ファームウェアを確認し、交換用のシードを作成し、残高をそこから導出された受信アドレスに移すことである。最後のステップを省略すると、Bitcoinは同じ古い鍵の下に置かれたままになる。だからこそ、これは単純なソフトウェアのメンテナンス作業ではなく、ウォレット交換の問題なのである。

シードを作成したバージョンを確認する

Coldcardのセキュリティステータスページでは、デバイスモデルとリリーストラックが区別されている。StandardとEdgeのファームウェアは異なるバージョン番号を使用しているため、保有者は番号だけを比較するのではなく、自分が使用していたトラックを確認すべきである。

Coldcardは重要な例外を1つ設けている。同社によると、シード作成時に少なくとも50回の公正で独立した非公開のサイコロの振りを追加したユーザーは、この特定のRNGリスクを回避するのに十分な追加エントロピーを供給していたという。サイコロの目の並びは、保存、撮影、その他の方法で露出していなかったことが条件である。

強力で一意なBIP-39パスフレーズも、影響を受けたシードの利用を難しくするが、根本的な欠陥を修正するものではない。Coldcardは、文書化されたサイコロの条件が当てはまらない限り、パスフレーズウォレットについても実行可能な範囲でできるだけ早く移行することを引き続き推奨している。自分の設定が例外を満たしていたことを明確に立証できない人は、記憶に頼るのではなく移行ガイダンスに従うべきである。

5.6.1および1.5.1Qによる変更点

現行の標準リリースは、当初のRNGホットフィックスを超えた管理策を追加している。新しいシード生成では、デバイスの新しいエントロピーと、ユーザーによる必須の貢献、すなわち予測不可能なタイミングでの少なくとも65回のキー押下、50回の物理的な6面ダイスの振り、または128回の物理的なコイン投げとを組み合わせる。

Coinkiteによると、AI支援レビューにより、トランザクション承認、USB処理、ファームウェア検証に関わる問題も特定されたという。同社のセキュリティページには、実機でのRNGテスト、ソースレビュー、再現可能ビルドの作業など、外部レビュアーによる対象を絞った作業が記載されている。明示された範囲が重要である。これらの検証は記載されたメカニズムを検証するものであり、すべてのファームウェアバイナリにおけるすべての可能な状況を検証するものではない。

影響を受けたシードを安全に交換する方法

Coldcardの移行ガイダンスは意図的に慎重に作られている。切迫した状況でBitcoinを移動すると、誤ったアドレスへの送金、交換用バックアップの紛失、偽造ファームウェアファイルのインストールといった新たな問題を招く可能性がある。推奨される手順は以下の通りである。

• Coldcardのウェブサイトに直接アクセスする。 デバイスとリリーストラックに対応した正しいリリースをダウンロードし、SHA-256ハッシュと署名済みのsignatures.txtファイルを検証する。
• 完全に新しいシードを生成する。 古い単語を再利用したり、同じシードから導出された別のアドレスにBitcoinを送金したりしない。
• 交換用ウォレットをオフラインでバックアップする。 シードを慎重に記録する。パスフレーズを使用している場合は、シードの単語とは別に保管し、ウォレットのフィンガープリントを書き留める。
• 再起動してウォレットを確認する。 資金を送る前に、Coldcardの画面でフィンガープリントと受信アドレスを確認する。
• 少額のテストトランザクションを送る。 残りの残高を移動する前に、着金と復元の詳細を確認する。
• 移行が完了するまで古いバックアップを保管する。 古いウォレットへのアクセスや盗難報告の記録に必要になる場合がある。

Coinkiteの技術背景資料に、モデル固有の移行手順が記載されている。同資料はまた、パスフレーズは入力されるたびに異なるウォレットを生成すること、入力ミスにより有効だが空のウォレットにつながる可能性があることも警告している。だからこそ、全残高を入金する前にウォレットのフィンガープリントを確認することが重要なのである。

偽の移行支援が現れる可能性

セキュリティインシデントは、フィッシングの格好の口実を生む。偽のサポートアカウントは、「RNGチェッカー」や復旧ツール、Bitcoin移動用の一時アドレスなどを提供しようとするかもしれない。保有者が公開トランザクションを確認する手助けのために、こうしたサービスがリカバリーフレーズ、PIN、秘密鍵を必要とすることはない。

保存済みのColdcardアドレスを使用するか、公式ドメインを直接入力すること。メッセージ、広告、ソーシャルメディアの返信からファームウェアをインストールしてはならない。同じ原則は本物のセキュリティ警報にも当てはまる。CoindooがMiCA関連の移行詐欺に関する報道で伝えたように、本物の発表がコピーされ、ユーザーを偽のサポートチャネルへ誘導するために利用される可能性がある。

不正なトランザクションがまだ未確認で置き換え可能とマークされている場合、より高い手数料のトランザクションでセキュアなウォレットへの送金に置き換える限られた可能性がある。そのプロセスは技術的であり、時間的制約も伴う。Coindooの対象となる保留中のColdcard送金を停止するガイドに条件が説明されている。不確かな保有者は、残りの残高で場当たり的な対応をするのではなく、信頼できるBitcoinセキュリティの専門家に助けを求めるべきである。

定期アップデートではなく鍵の交換

Coldcardの新リリースは、公表されたシード生成の欠陥に対処し、セットアップ、署名、ファームウェア処理をめぐる複数の管理策を追加する。対象となるサイコロによる保護なしに影響を受けるバージョンでシードが作成された場合、残された作業は原則として単純である。検証済みの交換用ウォレットを確立し、古いバックアップに再び依存する前に、Bitcoinをその新しい鍵の下へ移すことである。

ソースレビュー:技術的原因、影響を受けるバージョン、現行リリースの推奨事項、シード作成の要件、移行手順、検証範囲は、ColdcardのセキュリティステータスページおよびCoinkiteの技術背景資料に基づく。Coldcardは、同社の勧告は個々に報告された損失の原因を確定するものではないとしており、そのため本記事では、報告された盗難の総額をファームウェアアップデートによって確認された結論として提示していない。