2021年から気づかれないまま存在していたColdcardハードウェアウォレットのファームウェア脆弱性が悪用され、推定8,900万ドル相当の資金が流出した。この事件は、自己管理(セルフカストディ)と現物ビットコインETFのような規制下のカストディ型商品との間のトレードオフを巡る議論を再燃させている。脆弱性の影響を受けたのは、カナダのメーカーCoinkite Inc.製のデバイスで、Bloombergのシニア ETFアナリスト、エリック・バルチュナス氏は同社の従業員が5人程度しかいないと指摘し、「これほど重要な仕事にしてはとんでもなく少ない」と評した。
報道によれば、この脆弱性はウォレットが秘密鍵を生成する方式に起因していた。影響を受けたColdcardデバイスは、隔離された安全なハードウェアチップ内で鍵を生成するのではなく、予測可能なソフトウェアベースのアルゴリズムに依存していた。これにより攻撃者はオフラインで鍵を計算し、標的となるウォレットの認証情報を再構築したうえで自動的な引き出しを実行できた。
バルチュナス氏、侵害をETFの論拠に
バルチュナス氏は、この事件が示すのは、大多数のビットコイン投資家にとって自らハードウェアウォレットを管理するよりも、規制下のカストディ型商品を利用する方が望ましいということだと主張した。
「ビットコインを決済手段として使いたいならETFは確かに悪い選択肢だが、投資目的の人々にとっては断然最良の選択だと思う」と同氏は投稿し、ビットコインを取引通貨として使う場合と純粋な投資対象として保有する場合を区別した。
同氏の主張の核心は、規制下の現物ビットコインETFが依拠する機関投資家グレードのカストディ基盤にある。通常はCoinbaseやLedgerといったカストディアンを通じて運用され、5人規模のハードウェアウォレットメーカーが提供できる水準をはるかに超える専任のセキュリティチームと監査済みプロセスを備えている。ビットコインを決済手段としてよりも主にポートフォリオ資産として捉える投資家層が増えるなかで、バルチュナス氏はこのトレードオフが明確にETFに有利に傾くと示唆した。
関連記事: Coldcardのファームウェア欠陥、4,500超のウォレットからビットコイン8,900万ドル流出
トレードオフは双方向に働く
もっとも、この比較には限界もある。現物ビットコインETFは保有者が実際のビットコインを常時引き出せるわけではなく、株式(シェア)は自己管理のコインのようにオンチェーンで直接取引に使うことはできない。決済やオンチェーン活動のためにビットコインへの直接アクセスを必要とするユーザーにとって、今回のColdcard侵害は損得勘定を変えるものではない。しかし、価値の保全を最優先に考える投資家にとっては、規制下にあり十分なリソースを持つ機関にカストディを委ねる方が、ハードウェア鍵を独力で管理するよりリスクが小さい可能性があるという論拠に、今回の一件が新たな重みを加えている。
