Coinkite社のハードウェアウォレット「Coldcard」に長年潜んでいたファームウェアの不具合に起因する被害額が、Galaxy Researchの最新データによるとおよそ8,860万ドルまで膨らんだ。ぜい弱性を突いた窃取は今も新たな波を伴いながら続いており、直近だけで207.73BTCが流出。これでキャンペーン開始以来の被害は、4,585のアドレスにまたがる合計約1,367BTCに達した。
根本原因は2021年3月にさかのぼる。Coldcardのファームウェアの不具合により、シードフレーズの生成に十分なランダム性が確保されず、欠陥のある生成プロセスを再現できる者であれば秘密鍵を推測できる状態になっていた。Galaxy Researchのアナリスト、アレックス・ソーン氏は、今回の窃取パターンについて「意図的かつプログラム的」だと指摘し、攻撃者が大規模言語モデルを用いたオーケストレーションによって、ぜい弱なウォレットを体系的に洗い出し、資金を抜き取っている可能性があるとの見方を示した。
眠っていた資金、組織的に流出
Galaxyの分析によれば、被害者の資金は平均3.18年間眠った状態にあった後に一掃されており、多くの保有者はコインが実際に失われるまで、自分のウォレットが侵害されていることに気づいていなかったとみられる。調査チームはこれまでに攻撃者のものとみられるアドレスを約600件特定しているが、盗まれた資金の大半はそのまま動かされずに留まっており、この点が追跡作業を難しくしている。
Galaxyの調査は、対象デバイスに今も資金を残している保有者への厳しい警告も突きつけている。2021年3月以降に作成されたシングルシグ方式のColdcardアドレスは、新たに生成した影響を受けないウォレットへ資金を移さない限り、「いずれは流出する」というのだ。
関連記事: Coldcard8,900万ドル流出、アナリストがビットコインETFの論拠に
被害者に重くのしかかる代償
直近で確認された被害は7月29日付のもので、個人被害者のリストはさらに膨らんでいる。カナダ人コーチのジョナサン・グッドマン氏は18.25BTC、カナダドルで約160万ドル相当を失ったと報告し、その心境をこう率直に語った。
「一番つらいのは、自分は何もかも正しくやっていたということだ」
既報の通り、今回の流出規模の大きさはすでに一部アナリストの間で、自己管理型ハードウェアウォレットが抱えるカストディリスクが、規制されたETF経由でのビットコインエクスポージャーを支持する論拠を強めているとの議論を呼んでいる。被害額が今なお増加を続け、Galaxyがさらに多くの対象ウォレットがリスクにさらされたままだと警告する中、この事件はビットコインの歴史においてもとりわけ深刻なハードウェアウォレットのセキュリティ障害の一つになりつつある。
