バイナンス創業者のチャンポン・「CZ」・チャオは、Coldcardハードウェアウォレットデバイスにおける重大なセキュリティ障害を受け、暗号資産保有者に対して資金を複数のウォレットに分散させるよう求めました。

土曜日にXへの投稿で盗難報告に応じて、CZは次のように書きました。「ハードウェアウォレットでさえバグがある可能性があります。古いウォレット（長い歴史を持つもの）でもバグがある可能性があります。どう軽減するか？複数のウォレットに資金を分けるべきか？これには別のリスクがあります。100%安全なものはありません。情報を得続けてください。SAFUでいてください！」

彼は、資金を分割することは別のリスクをもたらし、100%安全なものはないと警告しました。

このエクスプロイトは、2021年3月に遡るファームウェアの欠陥を中心に展開し、一部のColdcardモデルのリカバリーシード生成に使用されるランダム性を弱体化させていました。攻撃者は、物理的にデバイスにアクセスすることなく、オフラインで秘密鍵を再構築し、資金を奪取することができました。この脆弱性は特に重大です。なぜなら、リカバリーシードはハードウェアウォレットユーザーにとって究極のセーフティネットであり、シードが数学的に再構築可能な場合、どれほどの物理的デバイスセキュリティも意味を持たないからです。

トロント拠点のCoinkiteが製造するColdcardは、プライバシー重視およびセルフカストディの愛好家に広く使用されているビットコイン専用のハードウェアウォレットです。USBやネットワーク接続ではなく、MicroSDカードを通じて完全にオフラインで動作するように設計されていることも理由の一つです。そのエアギャップの評判により、このエクスプロイトは特に注目すべきものとなっています。物理的アクセスやネットワーク接続を必要とせずに、デバイスのコアとなるセキュリティの前提を回避できたからです。

初期のオンチェーン報告では、7月30日に約25分間の枠内で約500のウォレットから約594ビットコイン（当時約3800万ドル）が移動されたことが確認されました。その後のGalaxy Researchの分析により規模は大幅に拡大し、約41分間で1,196のアドレスから1,082.65ビットコイン（約7000万ドル相当）が盗まれたことが判明しました。影響を受けたウォレットの多くは長年休眠状態にありました。

Coinkiteはこのバグを認め、謝罪し、緊急のファームウェアアップデートをリリースしました。同社は、影響を受けたファームウェアバージョンでシードを生成したユーザーに対し、パッチ適用済みデバイスで完全に新しいシードを作成し、慎重に資金を移行するよう助言しました。Coinkiteは、単にファームウェアをアップデートするだけでは、すでに作成された脆弱なシードを保護することはできないと指摘しました。

この事件は、セルフカストディの限界に関する議論を再燃させました。ハードウェアウォレットはビットコインをオフラインで保管するための最も強力な選択肢の一つとして広く認識されていますが、Coldcardの事例は、長年確立されたデバイスであっても、長期間検出されない重大な欠陥を潜伏させる可能性があることを示しています。CZの分散の提案は、リスクの分散がより複雑な鍵管理を含む独自の実用上の課題をもたらすことを認めるものでもあります。

このエクスプロイトは、より広範な業界の課題も浮き彫りにしました。ハードウェアウォレットのファームウェアは、それが依存する暗号プロトコルと同等レベルの独立したオープンなセキュリティ監査をほとんど受けていません。つまり、単一ベンダーの実装バグがデプロイ後長期間にわたって検出されないまま存在する可能性があるということです。

出典：CoinDesk