7月30日、1,196台のColdcardハードウェアウォレットから、約$70 million相当の1,000 bitcoin超が41分間の間に流出した。Galaxy Researchの分析によると、これは当初の報告額のほぼ2倍に当たる。

この事件が通常の暗号資産窃取と異なるのは、攻撃者が被害者のデバイスにアクセスする必要がなかった点だ。特定のColdcardハードウェアウォレットにあったファームウェアの欠陥により、本来は推測不可能なはずのシードフレーズが計算上列挙可能となり、攻撃者は完全にオフラインで秘密鍵を再構築し、大規模に資金を移動できた。

Toronto拠点のCoinkiteが製造するColdcardは、エアギャップ設計とオープンソースのファームウェアを理由に自己管理を重視する利用者から支持されるBitcoin専用ハードウェアウォレットだ。利用者の多くは秘密鍵の主権を重視しており、シード生成の失敗は、そのセキュリティ特性を理由に製品を選んだコミュニティにとって特に重大な影響を持つ。

セキュリティ企業は、所有者がシードが脆弱なファームウェアで生成されたかどうかを確実に判定できないため、追加のウォレットにもリスクが残ると警告している。確実な対処法は、適切な乱数生成を使用していることが確認されたデバイスで新しいシードを生成し、そのシードから導出されたアドレスへすべての資金を移すことだ。調査担当者は、ブロックチェーンデータプロバイダーから入手したログをもとに攻撃者の追跡を続けている。

Galaxy Researchが事件全体を把握

Galaxy Researchは金曜日、この事件の全体像を公開し、1,082.65 BTCが01:10から01:51 UTCの間に6つのブロックにわたって移動したことを確認した。間に挟まれた3つのブロックには関連取引がなく、送金が連続的ではなくバッチでブロードキャストされたことを示唆している。

現在、流出した資金は4つのアドレスに分散して保管されたままで、動いていない。初期報道ではそのうち1つのアドレスしか把握されていなかったため、当初の被害額はその後増加した。

盗まれた総額は今年の大規模攻撃の一部よりは小さいものの、この脆弱性が特に重大なのは、その手口にある。

なぜColdcardの脆弱性が多くの攻撃より重大なのか

暗号資産の盗難の多くは、何らかの対象に到達することから始まる。取引所が侵入される、コントラクトが悪用される、ラップトップから鍵がフィッシングされる、といった形だ。防御の基本は常に「距離」であり、まさにそれを売りにしているのがハードウェアウォレットだ。鍵をインターネットに接続しないデバイスに保管しておけば、理論上、攻撃者が触れるものはない。

ウォレットが作成される際、デバイスは推測が事実上不可能なほど大きく予測不能な数を選ぶことになっている。

その数がシードであり、そこからすべてのアドレスと秘密鍵が、固定された公開ルールに従って導出される。Coldcardのファームウェアは、その数を専用のハードウェア乱数生成器から取得する設計だった。しかし内部のビルド設定が、その生成器を使わないよう指示していた。さらに、補助ライブラリのチェックは、設定が存在するかどうかしか確認しておらず、実際に有効化されているかは確認していなかった。

その結果、鍵生成は、チップのシリアル番号とクロックレジスタを種にした単純なソフトウェア代替手段へとフォールバックした。シリアル番号は工場出荷時の固定メタデータであり、クロック値は攻撃者が自分のデバイスで絞り込んだり測定したりできるタイミング状態だ。

その結果、デバイスが生成し得る鍵の範囲は、想像を絶する広さから数え上げ可能な範囲へと縮小した。乱数生成器の失敗は暗号資産分野で繰り返し現れる脆弱性の一類型であり、2013年にはAndroidのSecure Randomの不具合が影響端末上のBitcoinウォレット鍵を危険にさらし、その後も同様の弱点が断続的に確認されている。

セキュリティチームは、古いMk2およびMk3モデルでは鍵生成を完全に列挙できると判断した。Mk4、Q、Mk5モデルでは、その範囲を約40億通りと見積もっている。40億は人間には大きな数だが、コンピュータにとってはごく小さい。

攻撃者は自分のハードウェア上で候補シードを生成し、それぞれから導出されるアドレスを求め、そのアドレスを公開ブロックチェーンと照合できる。これは誰でもダウンロード可能だ。この処理のすべては攻撃者側の機械上で完結する。被害者のデバイスは一切関与せず、別の大陸の金庫の中で電源が切られていてもよい。

Galaxyの分析は、このプロセスが実際に動いていたことを示している。流出したウォレットのうち、1,183件は現代的なnative segwit形式のアドレスを使い、7件はより古い標準、6件はさらに古い形式を使っていた。3種類のアドレス形式にまたがって資金が同時に狙われたことは、個々の被害者を選別したわけではないことを示している。候補シードごとに、そこから導出され得たすべての経路を総当たりで確認する体系的な列挙だ。

攻撃者は、検索範囲を広げ、絞り込み、いつでも戻ってこられる。Galaxyは、影響を受けた所有者が資金を移動しなければ、さらなる波状攻撃が起きる可能性が高いと警告した。

さらに重要なのは、所有者が自分のウォレットに対して、シードが再現可能な範囲内にあるかどうかを判定するテストが存在しないことだ。問題が完全に解決されるまでは、影響を受けたファームウェアでシードを生成した人は最悪の事態を前提にすべきだ。

影響を受けるモデルとベンダーの対応

Coldcardの製造元であるCoinkiteはMk3の所有者に警告を出し、新しいデバイスは影響を受けないと述べている。しかしBlockの調査では、Mk2、Mk4、Q、Mk5も対象に含まれている。これは、影響範囲の全容がなお未解決であることを意味し、ベンダーと調査側の見解の差そのものが、対応を判断するユーザーにとってのリスク要因になっている。

攻撃者のミス

攻撃者は1つだけ痕跡を残した。BlockのClay GarrettはXで、攻撃者が有料アカウントを使って、よく知られたブロックチェーンデータプロバイダーに対し、流出作業中に送信元アドレスを照会していたと述べた。Garrettによれば、そのプロバイダーの内部ログは、リクエストの数、タイミング、順序に至るまで、彼が「異例なほど高い精度」と表現した疑われる手口と一致していた。

1/ During our investigation of the Coldcard drain yesterday, we identified an unusual pattern in the sweeps. That pattern led us to a hypothesis that has since been confirmed: the operator used a paid account at a well-known blockchain-services provider to query the source… — Clay Garrett (@clay_garrett) July 31, 2026

そのプロバイダーは、目的を示す兆候のない通常の依頼に対して、通常のサービスを提供していたようだ。Blockはこの情報を当局に共有した。

コールドストレージへの広範な示唆

コールドストレージは以前から、秘密鍵は推測不能であると約束してきた。業界はそれを、鍵は到達不能でもあるという保証として広く受け止めていた。今回のColdcardの脆弱性は、この2つは別の性質であり、前者の弱点を見つけて悪用するコストは下がり続けていることを示している。

別の動きとして、進化する脅威環境を示す事例もある。Anthropicは火曜日、同社のAIモデルの1つが、専門家による2年間のレビューを耐え抜いた設計に対して、候補となる耐量子暗号アルゴリズムの安全性を60時間で半減させたとする研究を公表した。

安全に鍵を保管することは、今や問題の半分にすぎない。そもそも正しく生成されていることを保証する方が、より難しいのかもしれない。

Source: CoinDesk