マルチシグ暗号ウォレットの開発企業Vultisigは、2025年8月にリリースされたアップデートにより、ソフトウェアの秘密鍵に関する脆弱性が解消されたと発表しました。同社は、影響を受けたバージョン、脆弱性が引き起こされる条件、修正が提供される前にユーザーの資金が被害を受けたかどうかについて、公表していません。

CryptoSlateの報道によると、本件は8月のアップデートによって遮断された重大な秘密鍵漏洩の問題とされています。この種の脆弱性のリスクは極めて高くなります。秘密鍵は暗号ウォレットのマスターパスワードに相当し、秘密鍵を握った者はウォレット内の資金を完全に支配できるため、ウォレット事業者が直面しうる最も深刻な脆弱性の一つです。

8月にリリースされたアップデートで修正されたとしている一方で、Vultisigは公式のセキュリティ勧告を発行していません。執筆時点で、CVE識別子も、影響を受けるバージョンの範囲も、修正の範囲を確認する技術文書も存在しません。CVE識別子は、公開された脆弱性を整理するためにソフトウェア業界で広く使われている標準的な体系であり、ユーザーやセキュリティチームが自身の環境が影響を受けるかどうかを検証するための共通の参照基準となります。

秘密鍵の脆弱性がなぜ深刻なのか

秘密鍵とは、暗号ウォットの作成時に生成される長い文字列のことです。金庫の解錠番号にたとえられ、これを知る者は誰でも金庫を開けて中身をすべて持ち去ることができます。最悪の場合、秘密鍵を漏洩・露呈させる脆弱性により、所有者が何ら誤った操作をしていなくても、攻撃者がウォレットの資金を吸い上げることが可能になります。

Vultisigはマルチパーティ計算(MPC)を基盤としており、単一のデバイスが秘密鍵の全体を保持することはありません。代わりに、鍵は複数のデバイスに「シェア」として分割され、単一障害点によって鍵全体が露出するリスクを低減する設計です。この種のシステムにおける脆弱性は、署名操作の際の鍵シェアの不適切な取り扱いに関係する可能性がありますが、Vultisigは本稿で確認した公開情報の中で具体的なメカニズムを確認していません。

この種のウォレットのセキュリティ欠陥はVultisigに固有のものではありません。今年初めには、Electrumが悪意あるサーバーによるBitcoin窃盗を助長する欠陥を修正し、Solanaのトレーディングボットへのハッキングでは、秘密鍵の保存方法の弱点を突かれ、49のウォレットから約100万ドルが流出しました。これらの事例に共通するのは秘密鍵情報の取り扱いであり、ここでの欠陥はユーザー資金の損失に最も直結する部分です。

Vultisigユーザーが今すべきこと

Vultisigのユーザーにとって最も重要なのは、最新バージョンのアプリを実行していることを確認することです。アップデートはアプリストアまたはVultisigの公式ウェブサイトから入手すべきであり、サードパーティサイト、非公式アプリストア、SNSメッセージで送られてきたリンクから決して入手してはいけません。

また、Vultisigの公式リリースノートや、公式ウェブサイト・認証済みSNSチャネルで公開されているセキュリティ関連の情報も確認すべきです。これらの文書には、脆弱性を含むバージョンと修正を含むビルドが明示される見込みです。その情報が見つからない場合は、自身の環境が安全だと判断する前に、公式チャネルを通じてVultisigのサポートに直接問い合わせてください。

原則として、リカバリーフレーズや秘密鍵に関する情報は、Vultisigチームのメンバーを名乗る者を含め、決して誰にも共有しないでください。正当なウォレット事業者がこの情報を求めることは決してありません。緊急のセキュリティ問題を理由にシードフレーズを要求してくる相手は、サポートではなく詐欺です。

インフラの脆弱性がどのように波及するかについての広い文脈として、26,000台を超えるサーバーを危険にさらしたGMO Tradingのクラウド侵害は、攻撃対象領域がウォレットアプリ自体を超えて広がっていることを想起させます。

未確認のまま残っている点

いくつかの重要な詳細が、公開情報ではまだ確認されていません。Vultisigは、脆弱だった具体的なバージョン番号、脆弱性の発火にユーザーの特定の操作が必要だったかどうか、パッチ提供前にウォレットが悪用されたかどうかを明らかにしていません。また、脆弱性が社内で発見されたものか、外部のセキュリティ研究者による報告かも明らかにされていません。

今後注目すべき情報公開は、CVEが割り当てられた正式なセキュリティ勧告、影響を受けるバージョン範囲の公表、そしてウォレットへの影響の有無に関する声明です。Vultisigが正式なセキュリティ勧告を公表するまで、ユーザーは8月のアップデートを任意ではなく必須と捉え、できるだけ早く自身のインストール状況を確認すべきです。

免責事項:本記事は情報提供のみを目的としており、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場には大きなリスクが伴います。意思決定の前に必ずご自身で調査を行ってください。