Galaxy Researchは、脆弱なColdcardファームウェアによって生成されたとみられるビットコインアドレスを標的とした3波目の疑われる攻撃を特定し、推定流出総額は4,585アドレスにわたって1,367.05 BTCに達しました。

Coinkiteが製造するColdcardは、最も広く使用されているエアギャップ型ビットコインハードウェアウォレットの一つであり、セルフカストディのセキュリティを優先するユーザー向けに特化して販売されています。このデバイスはプライベートキーを完全にオフラインで生成・保存するよう設計されており、内部乱数生成器の品質は複数あるセキュリティレイヤーの一つではなく、基礎となるセキュリティ前提となっています。

最新の波では207.7294 BTCが流出し、Galaxyの更新情報発表時点での観測総額は約8,860万ドルに達しました。

第3波は異なる取引パターンを示す

最初の2つの疑われる攻撃波は類似したオンチェーンパターンを示していました。どちらも、資金を少数の共有コレクターアドレスに集約するファネル構造を使用し、pay-to-witness-public-key-hash（P2WPKH）宛先に依存していました。

対照的に、第3波はpay-to-witness-script-hash（P2WSH）宛先を使用し、1取引あたり平均6.37の被害アドレスをバッチ処理しました。これらの違いは、同じ攻撃者が新たなツールを採用したか、あるいは別の攻撃者が同じアドレス生成の脆弱性を悪用していることを示唆している可能性があります。

Galaxyは、影響を受けたすべてのアドレスがColdcardの欠陥のある乱数プロセスに起因することを独立して確認していません。同社の調査結果はオンチェーンの推定値であり、3つの波すべてが単一の攻撃者または単一の脆弱なデバイスグループに起因するという決定的な証拠ではありません。

更新された総額は、BlockとCoinkiteが最初に開示したシード生成の脆弱性の後に追跡された、最大1,083 BTCという以前の推定値を上回っています。

Coinkiteが影響を受けるデバイスのリストを拡大

Coinkiteの更新されたセキュリティ勧告は現在、ファームウェアバージョン4.0.1から4.1.9で生成されたMk2およびMk3シードと、標準ファームウェア5.6.0またはEdgeファームウェア6.6.0Xより前に作成されたMk4およびMk5シードを対象としています。標準バージョン1.5.0QまたはEdgeバージョン6.6.0QXより前に生成されたColdcard Qシードも影響を受けます。

Coinkiteの推定では、脆弱なMk4、Mk5、Qシードには意図された128ビットではなく、約72ビットのエントロピーしか含まれていませんでした。意図された128ビット規格は約3.4 × 10^38の組み合わせに相当し、ブルートフォース攻撃では計算上実行不可能とされるキースペースです。約72ビットでは、有効な検索空間は約4.7 × 10^21の可能性に縮小し、この減少は影響を受けるシードを、最新のコンピューティングリソースを使用する執念深い攻撃者の実用的な範囲内に置くことになります。

影響を受ける各モデル向けに修正ファームウェアが提供されていますが、アップデートのインストールだけでは脆弱なファームウェア下で既に作成されたシードを修復することはできません。同じリカバリーフレーズを別のウォレットにインポートしても、資金は同様に露出したままとなります。

少なくとも50回の公正で独立したプライベートなサイコロ振りによって補強されたシードは、この乱数の欠陥単独では脆弱とはみなされません。強力で一意のBIP-39パスフレーズは追加の保護レイヤーを提供しますが、Coinkiteは影響を受けるユーザーに対して資金の完全な移行を引き続き推奨しています。

BlockがRNGの欠陥を2021年3月に遡って特定

Blockの技術調査は、この脆弱性が2021年3月のファームウェア変更に起因することを突き止めました。この変更により、Coldcardの乱数ライブラリがデバイスのSTM32ハードウェアジェネレーターを使用する代わりに、決定論的なMicroPythonルーチンにフォールバックするようになりました。

Mk2およびMk3のバージョン4ファームウェアは、このフォールバックに暗号論的エントロピーを一切追加しませんでした。新しいデバイスはセキュアエレメント入力を導入しましたが、再シード時に4バイトしか保持せず、固定フォールバック条件下で安全に区別可能な出力ストリームを最大2^32（約43億通りの可能性）に制限していました。

この開示は、ZachXBTが以前にハードウェアウォレットを「ゴミ」と呼び、暗号資産の保管に専用iPhoneを使用することを推奨した発言に続くものです。彼の発言はより広範なウォレットソフトウェアおよび運用リスクに関するものであり、Coldcardのエントロピー欠陥を具体的に指摘したものではありませんでした。

影響を受けるユーザーは、代替シードを生成する前に修正ファームウェアをインストールし、新しいバックアップと受信アドレスを確認し、少額のテスト取引を送信し、テスト資金の到着を確認した後にのみ残高を移転することが推奨されています。