Coldcardの複数世代のハードウェアウォレットで、ファームウェアの不具合により安全な乱数生成機能が無効化された。既に594.48ビットコイン（約3830万ドル）が盗難被害に遭っており、被害は拡大中。
Coldcardを製造するCoinkite社およびBlockのビットコインエンジニアリングチームは、この問題が乱数生成器（RNG）の検査不備に起因することを突き止めた。攻撃者は真のランダム性ではなく、予測可能なデバイス情報を利用してウォレットの秘密鍵を再構築できる。
Coldcardでビットコインが盗難された経緯
Coldcardのファームウェアは、チップに内蔵された乱数生成器を無効化する。その代わり、バックアップシステムがデバイスのシリアル番号と内部クロックから鍵を生成する。いずれも攻撃者が推測可能なパターンを持ち、ランダムなはずのシードは解読可能なパズルとなる。
2021年以降にリリースされた特定のファームウェアを搭載するデバイスは、実質的にランダム性をほとんど持たない。新型モデルでは一部補正が加えられているが、組み合わせは約40億通りまでしか広がらず、現代のコンピューターで解析可能である。Blockは問題が2021年のアップデートに起因し、その1年後の修正でも十分ではなかったと指摘した。
この脆弱性は同じ乱数生成を利用するペーパーウォレットやシードのバックアップ、他の機能にも波及している。Blockの報告書でも、影響範囲の広がりが確認された。この仕組みは今年初めに弱いシードフレーズによりウォレットが流出したIll Bloom攻撃とも類似する。
利用者の対応策
攻撃者は資金を盗むために物理的なアクセスを必要としない。公開アドレスやエクスポート済み公開鍵があれば推測攻撃の対象となる。推測が一致した時点で、攻撃者は秘密鍵を取得し即座にコインを移動できる。
Coinkite社は影響を受けた全ユーザーに、最新版ハードウェア上で新たなシードを生成し、直ちに資金を移動することを推奨している。ファームウェア更新のみでは弱いシードがデバイス内に残るため、問題の解決にはならない。
一方、シードに追加パスフレーズを設定しているユーザーは、本件によるリスクが大幅に下がる。この手法はZachXBT氏が携帯型ウォレット向けにも推奨している。
暗号資産保有者の資金が弱い鍵生成により流出した例は過去にもある。例えばマスターキー流出が今年、韓国国税庁に発生。秘密鍵流出によりHumanity Protocolのトークンは6月に88%下落した。
ベンダー各社はオフライン型ハードウェアウォレットの小売展開を拡大しつつある。しかし、本件はファームウェアの不具合がデバイス内部から信頼性を損なうリスクを示している。
Coinkite社とBlockは、旧ファームウェアにどこまで本件の脆弱性が及ぶか調査を継続中としている。調査が終わるまで、Coldcardの利用者は本日適用の修正以前に生成したシードが既に危険にさらされている可能性を念頭に置くべきだ。
