1億3,000万ドル規模のBitcoinシード侵害を受け、Coldcardが大型セキュリティファームウェアをリリース
重要ポイント
- •2021年のファームウェアで導入されたシード生成の欠陥により、Mk2/Mk3では有効エントロピーが約40ビット、Mk4、Mk5、Qでは本来の128ビットに対しておよそ72ビットまで低下し、攻撃者は端末やリカバリーフレーズへの物理的アクセスなしにシードをオフラインで再構築できた。
- •Galaxy Researchは190人の被害者に接触したうえで、1億1,270万ドルに相当する1,778.84 BTCを高い信頼度で8,600を超えるアドレスに帰属させた。疑惑の第4波を含む中程度の信頼度のアクティビティを加えると、合計は2,417.35 BTC、約1億5,300万ドルに達する可能性がある。
- •新しいシード作成では、最低65回のキー入力、50回のダイス、または128回のコイン投げによるユーザー提供の乱数が必須となり、これがSTM32ハードウェアRNGと両方のセキュアエレメントと組み合わされる。Coinkiteはバックアップ生成器のYasmarangをSHA-256 Hash_DRBGに置き換え、起動時のRNGチェックも追加した。
- •2021年3月から2026年7月の間に影響を受けたファームウェアでシードを生成したユーザーは、新しいシードを作成してBitcoinを移動させる必要がある。最新ファームウェアのインストールでは、不十分なエントロピーで作成されたリカバリーフレーズは修復されないためだ。
- •法執行機関はGalaxyが提供した攻撃者のアドレスをもとに調査を進めている。確認された窃盗資金のうち約1,531 BTCは未移動のままで、約246 BTCは移動済みであり、その約65%がCoinJoinトランザクションに入っている。
ColdcardハードウェアウォレットのメーカーであるCoinkiteは、攻撃者が脆弱なシード生成を悪用して数千件のBitcoinアドレスから1,778 BTC以上を盗んだことを受け、大幅なセキュリティファームウェアアップデートをリリースした。それより前の推計では、攻撃全体の規模は1億3,000万ドルに近いとされていた。
8月20日のリリースでは、7月31日のホットフィックス後に行われた3週間のセキュリティレビューを経て、Mk4およびMk5向けにファームウェア5.6.1、Q向けに1.5.1Qが導入された。新しいシード生成プロセスでは、新たに生成されるすべてのシードについて、予測不可能なタイミングでの最低65回のキー入力、物理的なダイスを50回振ること、または物理的なコイン投げを128回行うことのいずれかを通じて、ユーザー自身が乱数を提供することが求められる。
2021年3月から2026年7月の間に影響を受けたファームウェアでシードを生成したユーザーは、引き続き新しいシードを作成し、Bitcoinを移動させる必要がある。最新のファームウェアをインストールしても、不十分なエントロピーで作成されたリカバリーフレーズは修復されない。このため、端末に問題を感じていないユーザーにとっても今回のアップデートは重要となる。
Coldcard、ユーザー乱数と新たな署名前チェックを追加
更新されたシード生成プロセスは、ユーザーの入力を、ColdcardのSTM32ハードウェア乱数生成器と端末の両方のセキュアエレメントから得られる新しいエントロピーと組み合わせる。Coinkiteはさらに、バックアップ用の疑似乱数生成器YasmarangをSHA-256 Hash_DRBGに置き換え、意図したハードウェアRNGのパスに到達しない場合に端末を停止させる起動時チェックを追加した。
そもそものシード生成の欠陥は、2021年に導入されたファームウェアに起因する。影響を受けたMk2とMk3のシードには有効なエントロピーが約40ビットしか含まれない可能性があり、その後のMk4、Mk5、Qの端末では、本来の128ビットに対しておよそ72ビットまで低下する場合があった。この脆弱性により、攻撃者は物理的な端末やリカバリーフレーズを盗むことなく、オフラインで候補シードを再構築し、導出されたアドレスをBitcoinブロックチェーンと照合できた。
Coldcardはまた、段階的に部分署名されたBitcoinトランザクションに対し、署名の直前に2回目のチェックを行う仕組みも追加した。ユーザーが確認した後に、侵入されたUSB接続のコンピューターによって改変されたトランザクションは、今後は「Transaction modified」（トランザクションが改変されました）という警告とともに停止する。今回のリリースでは、USBアクセス、ファームウェアの検証、Delta Modeの分離、ウォレットバックアップ、RNGの障害処理もさらに強化された。
確認されたColdcardの損失は1,778 BTCに到達
この窃盗は当初、いくつかの異なる攻撃波を通じて拡大した。その後の第3波で観測合計は1,367 BTCを超え、さらに多くの被害者と攻撃者の痕跡が特定された。
8月14日までに、Galaxy Researchは190人の被害者に直接接触し、1億1,270万ドルに相当する1,778.84 BTCを、高い信頼度をもって8,600を超えるアドレスに帰属させた。この数値には、疑惑の第4波を含む中程度の信頼度のアクティビティは含まれておらず、これらの候補となる窃盗を加えれば、潜在的な合計は2,417.35 BTC、当時の価値で約1億5,300万ドルに達する可能性がある。
Galaxyが同じ脆弱シードの問題を悪用した少なくとも15人の攻撃者を特定したことから、損失の推計は以前、1億3,200万ドル付近とされていた。8月6日以降に日付が確認された新たな攻撃痕跡はないものの、それ以前の損失を報告する追加の被害者は出続けている。
Galaxyの最新分析の時点で、高い信頼度の窃盗セットのうち約1,531 BTCは未移動のままだった。その後およそ246 BTCが移動し、そのうち約65%がCoinJoinトランザクションに入った。
法執行機関が調査を進めるなかユーザーはBitcoinを移動
Coinkiteによると、法執行機関はこの窃盗を調査し、責任者の特定を進めている。Galaxyは、盗まれたBitcoinが中央集権型サービスに到達した場合の追跡と潜在的な介入を支援するため、攻撃者のアドレスを法執行機関、取引所、調査会社に提供した。
この侵害は、Bitcoinソフトウェアのより広範なレビューも加速させた。Bitcoin Red Teamは最近、人間の研究者とAI支援分析を用い、数百のオープンソースプロジェクトにわたって数千件のセキュリティ所見をまとめた。一方、Coinkiteも3週間にわたる自社のファームウェアレビューで外部研究者とAIモデルを活用した。
影響を受けたColdcardユーザーは、まず修正済みファームウェアをインストールし、まったく新しいシードを生成して検証し、受け取りアドレスを確認したうえで、Bitcoinをオンチェーンで移動させるべきである。古いリカバリーフレーズを別のウォレットにインポートしても、脆弱なシードは変わらないままとなる。
Coinkiteが現時点で推奨するのは、Mk4とMk5にはファームウェア5.6.1、Qには1.5.1Qである。Mk2とMk3のユーザーにはバージョン4.2.0以降が必要で、影響を受けたシードはファームウェアのアップグレードとは別に置き換える必要がある。
