Coinkiteは、ファームウェアバージョン4.0.1から5.0.3を実行するColdcard Mk3でシードフレーズを生成したすべてのユーザーに対し、ウォレットが侵害されている可能性があるとみなし、直ちにビットコインを移行するよう求めるセキュリティ勧告を発表しました。Coldcardは最も広く使用されているBitcoin専用ハードウェアウォレットの一つであり、主権的なセルフカストディを重視するユーザー向けに販売されているため、ファームウェアレベルでのシード生成の欠陥は特に重大な意味を持ちます。この警告は、BlockのBitcoinエンジニアリングおよびセキュリティチームが、リモートでウォレットが流出されたという報告を調査中に、不十分なシード生成動作を発見した後に発表されました。

勧告は具体的に2021年3月以降にリリースされたMk3ファームウェアを対象としており、脆弱性が特定される前に、影響を受けるデバイスが何年にもわたって使用されていた可能性があります。Coinkiteの初期分析によると、Mk4、Q、およびMk5デバイスはこの脆弱性の影響を受けません。ただし、Blockの研究者は、異なるColdcard世代に影響を与える2つの個別の弱点を異なる重大度レベルで説明しました。Blockは、Bitkeyまたはその他のBlock製品は影響を受けていないことを確認しました。

開発者が予測可能なMk3シード生成を再現

Bitcoin Core開発者のGregory Sanders（オンライン名：instagibbs）は、新しく初期化されたデバイス上で、セットアップ時のキーパッドの押下回数のみを使用してMk3の弱点を再現することに成功しました。このような限られた入力からシードを再構築できることは、エントロピー源が安全なBIP-39鍵生成に必要な数学的閾値をはるかに下回っていたことを示しています。BIP-39では、ランダム性が攻撃者によるユーザーの秘密鍵の導出を防ぐ唯一の障壁です。彼はMk2およびMk3のユーザーに対し、このエクスポージャーを緊急として扱うべきと助言し、Mk4のステータスは自身のテストでは確認されていないと指摘しました。

開発者のAntoine Poinsotは、重要なハードウェアの違いを特定しました。Mk4のシード生成はマイクロコントローラーの真乱数生成器を活用していますが、Mk3ファームウェアは同じ方法でそのソースを利用していませんでした。Coinkiteの2021年3月のバージョン4.0.0のリリースノートは、すべての暗号化コードおよびBIP-39コードが新しい実装に置き換えられたことを確認しています。Foundation DevicesのCEOであるZach Herbertは、このエントロピー欠陥の可能性を追跡し、同じ120ファイルの書き換えに起因すると指摘しました。同時に、エラーを付随するライセンス変更に結びつける証拠はないと強調しました。

Blockが1,083 BTCに上る可能性のある流出規模を追跡

最初に特定されたスイープは、Bitcoinブロック960188から960191にわたる500の単一署名アドレスから594.48 BTCを移動させました。Atlas21は1,324の消費されたUTXOをカウントし、一連の流れが終了する前に562 BTCが別のアドレスに統合されたと特定しました。

BlockのエンジニアClay Garrettはその後、既知のセットと同一の完全なフィンガープリントを持つ695件の以前のトランザクションを報告しました。これらの送金は追加で488.10957948 BTCを移動させ、両方のグループが同じ操作に属する場合、潜在的な合計規模は1,082.58680432 BTCに達します。報告時点で、その合計価値は約6,960万ドルであり、ビットコインは約64,247ドルで取引されていました。

Coinkiteは、ファームウェアの弱点がいずれのセットのすべてのトランザクションの原因であることを確認していません。Blockのチームは、攻撃がまだ進行中である可能性が高いと述べており、より広範なトランザクショングループは検証中です。

影響を受けるシードは再インポートではなく交換が必要

影響を受けたリカバリーフレーズを別のハードウェアまたはソフトウェアウォレットに移動しても問題は解決しません。基礎となるシード自体が予測可能なままだからです。この点において、この脆弱性は、ユーザーがシードフレーズを保管・取り扱う方法を悪用する脅威とは異なります。例えば、スマートフォンの画像からリカバリーフレーズをスキャンするSparkKittyマルウェアや、偽の会議通話を通じてウォレットをプロファイリングするBlueNoroffキャンペーンなどです。それらのケースではシードは正しく生成されていましたが、本件ではシードが最初から暗号学的に安全ではありませんでした。

Coinkiteは以下の移行手順を推奨しています。影響を受けていないデバイスで新しいシードを生成し、バックアップを記録・検証し、受信アドレスを確認し、少額のテストトランザクションを送信し、その後でのみ残高を移動するという手順です。直ちに移行できないユーザーは、暫定的な保護措置として強力で一意のBIP-39パスフレーズを作成できます。上級ユーザーは、ファームウェア4.1.9を実行する空のMk3で、少なくとも99回の独立したダイスロールを使用してダイス専用のシードを生成することもできます。