ギャラクシー・リサーチのアレックス・ソーン氏は月曜日朝、4回目の協調攻撃がColdcard利用者を狙っている可能性が高いと警告した。
乱数生成器（RNG）の脆弱性を突いた手口は、これまで3度の攻撃波で、合計1367.05ビットコイン（BTC）が4585アドレスから流出したとされる。4回目の攻撃が確認されれば、被害総額はさらに拡大する見通し。
Coldcard脆弱性、4回目の大規模攻撃が発生―380ビットコイン超流出か
ソーン氏は、960778ブロックから960792ブロックの間に計218件のトランザクションが確認され、被害が疑われる462アドレスから新たな210アドレスへの送金が行われ、合計380BTC以上が移動したと指摘した。この攻撃の発生頻度は1ブロックあたり13.8件と、事件前の0.3件と比べ約45倍に急増している。
これらの送金はColdcardで発生した既知の脆弱アドレスと同様のパターンを持ち、一部資金はすでに2段階目となるウォレットへと送金されている。
「これらはColdcardユーザー被害と考えられる。脆弱なUTXOの特徴と送金頻度から、これが新たな攻撃波である可能性が非常に高いと判断している」とソーン氏はコメントした。
ソーン氏は、同様のトランザクションがリプレース・バイ・フィー（RBF）を利用し、メンプール内で未処理のまま残っているとも付言した。RBFは、未承認のビットコイン取引をより高い手数料の取引で置き換えることができる仕組み。場合によっては、被害者が攻撃者より高い手数料を払うことで先に承認される可能性もある。
オンチェーンレンズによると、被害額は確認済みで8860万ドルに達した。過去の攻撃では数分で個人ユーザーの資産が失われ、カナダの被害者は160万ドルを失っている。
Coldcard、脆弱機器の出荷停止と全在庫廃棄を発表
一方、Coldcardは日曜日に、問題のあるファームウェアを搭載した全ての端末出荷を停止し、残存在庫を廃棄したと発表した。Satscard、Opendime、Tapsignerには影響はない。
修正済みファームウェアは新規作成したシードのみを保護する。利用者は新たなシードを作成し資金を移す必要がある。被害者にはデバイスを保管するよう呼びかけており、法務部門が捜査当局と連携して対応する。
「また、他のハードウェアウォレットやセルフカストディのコミュニティとも直接連絡を取り合ってきた。開発者、研究者など、多くの方々がリソースを惜しみなく提供してくださった。現在もこの連携を継続しており、業界全体で共同対応していく」と同社チームは表明した。
この問題は、チャンポン・ジャオ氏も警告しており、ハードウェアウォレットのリスクに関心が高まっている。第4波の被害が最終的に確認されるか、RBFによる資金救済が間に合うかが、被害の全容を分けることになりそうだ。
