最も古く、広く使われているビットコインウォレットの一つであるElectrumは、悪意あるサーバーがユーザーからビットコインを窃取することを可能にしたセキュリティ脆弱性を修正するため、バージョン4.8.3をリリースしました。Electrumを利用していてまだアップデートしていない方にとって、このリリースは緊急の対応事項です。

ビットコイン窃取に関連する悪意あるElectrumサーバー

Electrumはソフトウェアウォレットであり、ユーザーはコンピュータにインストールしてビットコインを保管・送金します。クライアントはサーバーのネットワークに接続して残高を確認し、トランザクションをブロードキャストします。このサーバー接続こそがリスクが発生した箇所です。

悪意ある攻撃者がElectrumネットワーク内で不正なサーバーを運用しており、これらの不正サーバーが旧バージョンのウォレットソフトウェアのセキュリティ脆弱性を悪用することができました。ElectrumプロジェクトのGitHub上のリリース履歴によると、バージョン4.8.3はこの脆弱性に対処するために特別に公開されたものです。

この攻撃ベクター——接続されたウォレットに有害なデータを送る不正サーバー——は既知の脅威カテゴリーです。米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、この種のソフトウェア悪用をマルウェアおよびフィッシングに関する勧告の下で追跡しています。適切な検証なしに外部サーバーを信頼するウォレットソフトウェアは、資金の送金先変更を含む意図しない操作へ誘導される可能性があります。

窃取されたビットコインの正確な額と影響を受けたユーザー数は、検証済みの公表資料では確認されておらず、本稿ではこれらの数値について推測を行いません。確定しているのは、実際の脆弱性が存在し、実際にビットコインが盗まれ、修正が公開されたという事実です。

セルフカストディ型ウォレット——ユーザーがカストディアンサービスに依存せず自ら鍵を保管するウォレット——への脅威は、ビットコインエコシステムにおける繰り返し懸念される事項であり、ソフトウェアの脆弱性がビットコインのセキュリティモデルを損ない得るかという問いは理解に値します。ただし、本件は暗号技術上の問題ではなく、標的を絞ったソフトウェアの脆弱性に関するものです。

バージョン4.8.3で変更された点

バージョン4.8.3は、報告されたセキュリティ脆弱性に対するElectrumの直接的な対応です。このアップデートは悪意あるサーバーが悪用していた脆弱性を解消しますが、旧バージョンを実行しているユーザーは、アップデートするまで同じ攻撃ベクターにさらされたままとなります。

electrum.orgの公式Electrumダウンロードページが、アップデートを取得できる唯一の安全な場所です。こうした状況では、偽ウォレットサイトが一般的な二次的攻撃となります。検索エンジンで「Electrum download」を検索すると、ウォレットの復元に使われる単語列であるシードフレーズを盗んだり、マルウェアをインストールしたりすることを目的とした不正ページが表示されることがあります。公式ドメインのみを使用すべきであり、第三者サイト、フォーラムのリンク、ファイル共有サービスからElectrumをダウンロードしてはなりません。

Electrumプロジェクトの公式GitHubリリースページには署名付きリリースも掲載されており、上級ユーザーは開発者のPGP鍵と照合して真正性を確認できます。

Electrumユーザーが今すぐ行うべきこと

第一に、実行中のElectrumのバージョンを確認してください。ウォレットを開き、ヘルプメニューからバージョン情報を確認します。インストールされているバージョンが4.8.3より古い場合は、直ちにアップデートしてください。

第二に、アップデート後、承認していない送金がないか最近の取引履歴を確認してください。説明のない送金トランザクションが見つかった場合、そのウォレットはアップデート前に侵害されていた可能性があります。その場合は、残りの資金をアップデート済みソフトウェア内で新たに生成した新しいウォレットアドレスへ移すか、長期保管用にハードウェアウォレット——署名鍵をオフラインに保つ物理デバイス——の利用を検討してください。

第三に、信頼できないサーバーに接続している間に新しいシードフレーズやウォレットファイルを生成した場合は、そのシードを侵害された可能性があるものとして扱ってください。悪意あるサーバーがシードフレーズを直接抽出することはできませんが、脆弱性の性質によってはトランザクションを別の宛先へ送らせることができた可能性があります。より詳細な技術的情報が公表されるまで、慎重なユーザーは影響を受けたウォレットを疑わしいものとみなし、資金を移すべきです。

こうしたウォレットのセキュリティ事故は、その上に構築されたソフトウェアに欠陥があっても、ビットコインの基盤ネットワークは無傷であることを改めて示しています。ビットコインプロトコル自体は侵害されておらず、脆弱性はアプリケーション層、具体的にはElectrumクライアントがサーバーの応答を処理する方法にありました。

要点は次のとおりです。公式サイトからのみElectrum 4.8.3にアップデートし、取引履歴を確認し、何か異常があれば新しいウォレットへ資金を移してください。

免責事項：本稿は情報提供のみを目的としたものであり、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。意思決定の前に必ずご自身で調査を行ってください。