ColdcardファームのRNG不具合が約8,860万ドル相当BTC流出と関連か——シード移行を緊急呼びかけ

8月1日、Coldcardハードウェアウォレットで生成されたシードの一部が脆弱だった可能性がオンチェーン分析で浮上し、利用者に対して警戒度の高い注意喚起が出た。DogecoinのコントリビューターであるMishaboarは、Coldcardを使ったことがある人に「直ちに新しいウォレットへ資金を移し、古いシードは再利用しない」よう求め、復元用の単語（リカバリーフレーズ）をインターネット接続されたPCに入力しないよう呼びかけた。 Galaxy Researchの最新オンチェーン分析によると、複数回に分かれたとみられる3つの攻撃波で、合計4,585アドレスから1,367.05 BTC（約8,860万ドル）が移動した。これは観測に基づく推計であり、Coinkiteや法執行機関、全被害者による確認が取れた数字ではない。 最大の波では、7月30日に約41分の間に1,196アドレスから1,082.65 BTCが引き出された。別の波では約1,912アドレスから約208 BTCが移動し、アドレス当たりの平均残高が0.1 BTC強まで低下していたことから、攻撃対象が大口から小口の多数へと移った可能性が示唆される。Galaxyは各波が単一の実行者による一貫した動きに見えるとしつつ、同一犯による一連の犯行と断定はできないとした。3つ目の波は、送金先アドレスの分散、複数被害者を単一トランザクションにまとめるバッチ処理、デフォルトの導出パスのみを確認するといった、異なる回収手法が確認されたという。 同社は、既知のパターンでは全ての窃取を捕捉できない点も指摘した。手数料水準や送金先フォーマット、回収手法を踏襲せずとも正当なトランザクションとして盗難が成立し得るため、分析で見えている範囲が被害の全体像とは限らない。 Coinkiteのアドバイザリは影響範囲を、脆弱なファームウェアで生成されたシードに限定している。対象は、(1) Mk2/Mk3でファームウェアv4.0.1〜v4.1.9上で作成されたシード、(2) Mk4/Mk5で標準版v5.6.0未満またはEdge v6.6.0X以前で作成されたシード、(3) Coldcard Qで標準版v1.5.0QおよびEdge v6.6.0QXで修正済みとされる不具合に該当するシード。Mk1は今回特定されたファームウェアの回帰（regression）の範囲外とされた。TAPSIGNER、OPENDIME、SATSCARDはコードベースが異なるため影響しない。Coinkiteは調査を継続しており、正式な技術報告書を公表する方針だ。 技術的な原因については、BlockのBitcoinエンジニアリング／セキュリティチームが、ファームウェア統合作業のミスにより、対象ビルドでシード生成時にSTM32のハードウェア乱数生成器ではなく、MicroPythonの決定論的フォールバックが使われていたと説明している。Mk2/Mk3のv4系では、このフォールバックが暗号学的エントロピーを実質的に提供しなかったという。後続モデルではセキュアエレメントによる限定的な再シードが入った一方、過去に生成された弱いシードは弱いまま残り得る。Blockは現時点での技術的見解であり、全デバイスを実機で網羅的に検証したわけではないとも強調した。 利用者への推奨対応は明確だ。古いColdcardシードは再利用しない。修正版ファームウェアを適用したColdcard、または別のウォレットで完全に新しいシードを生成する。機種に合ったCoinkiteの修正ファームをインストールしてから新シードを作成し、バックアップを記録・照合する。受け取りアドレスは必ずデバイス画面で確認し、まず少額のテスト送金を行い、着金を確認してから残額を移す。移行完了が確認できるまで古いバックアップは保持する。シードフレーズはネット接続されたコンピュータに入力せず、フィッシングやマルウェア、クラウド同期の誤作動リスクを下げるため、オフラインの複数拠点に分散して保管する。 Mishaboarは追加のBIP-39パスフレーズ（Coldcardの「25番目／13番目の単語」）と強固なパスフレーズの併用が有効だと改めて述べた。一方でCoinkiteは、パスフレーズは既に侵害され得るシードの修復にはならないと注意喚起している。短いパスフレーズや使い回しは脆弱なままだ。 例外としてCoinkiteは、最終的なシード単語が確定する前に、公正・独立・非公開のサイコロを少なくとも50回振って（独立エントロピー128ビット以上を追加）生成したユーザーは安全である可能性があるとした。50回未満、回数を覚えていない、出目の列が露出した可能性がある場合は移行を推奨する。パッチは将来のシード生成を修正するが、既に作成済みのシードに後からエントロピーを足すことはできない。弱いシードを別ウォレットへ移しても弱さは引き継がれる。 Bitcoin投資家のAnthony Pomplianoは、この件が自己管理（セルフカストディ）の安全運用が高度な技術的要件を伴うことを示したと指摘した。再現されたのは秘密鍵であり、Bitcoinプロトコル自体が破られたわけではないという。今回の損失を受け、秘密鍵管理を避けたい投資家にとって、機関カストディや現物Bitcoin ETFを選択肢とする議論も活発化している。 Coinkiteは対象機種向けの修正ファームを公開済みで、調査を継続中だ。Galaxyなども追加の被害者を確認し次第、アドレス分析を更新する可能性がある。総被害額8,860万ドル相当という数字は、捜査や当事者確認を経た確定値ではなく、オンチェーン推計にとどまる。Coldcardを保有している場合、機種別の公式アドバイザリを確認し、直ちにファームウェアを更新した上で新シードを作成することが求められる。