ビットコイン用ハードウェアウォレットColdcardを手がけるCoinkiteは、Bloombergの取材に対し、数日間にわたって数千件のアドレスからビットコインが流出し続けたセキュリティインシデントについて、現在は被害を受けた顧客への対応を最優先しており、事後の検証報告(ポストモーテム)を公表する予定だと述べた。一方で被害規模の推計については明言を避けており、外部の追跡調査ではすでに1億〜1億3,000万ドルに達するとの見方が出ている。
問題の根はファームウェアバージョン4.0.0にさかのぼる。このバージョンは2021年3月から稼働しており、鍵生成の際に本来使うべき専用のハードウェア乱数生成チップをColdcard端末側が迂回し、予測可能なソフトウェア代替に頼ってしまう不具合を抱えていた。この欠陥により攻撃者はビットコインのシードフレーズを推測できる状態にあり、この脆弱性を巡る報道によれば、約5,200のアドレスから合計およそ1,816BTCが流出したとされる。影響を受けるのは、ファームウェア4.0.1以降を稼働させている一部のMk3端末に加え、それより古いファームウェアのMk4、Mk5、Q端末だ。
補償はまだ提示されず
Bloombergへの回答時点で、Coinkiteは被害を受けたユーザーへの補償を提示していない。あくまで被害者支援に徹する立場を取り、損失を穴埋めする役回りではないという線引きだ。検証報告が完了するまで被害額の推計を明かさないという判断は、オンチェーンの追跡調査が攻撃者の資金移動を追い続ける中でも、最終的な被害規模と今後の対応の行方を宙に浮かせたままにしている。
攻撃者の資金移動は今も続く
この一件は最初の流出発覚後もオンチェーン上の動きが途絶えておらず、攻撃者は検知されて以降も盗んだビットコインの移動を再開している。Coldcardは秘密鍵をオフラインに保ち、この種の遠隔からの侵害を寄せ付けない設計を売りにしてきたセキュリティ重視のコールドストレージ端末として評価されてきただけに、今回の一件は近年のハードウェアウォレット関連事件の中でもとりわけ注視されているものの一つとなっている。
関連記事: Coldcardハッカー、盗難ビットコインの移動を再開
Coinkiteは検証報告を公表する時期についてはまだ示していない。
