ギャラクシー・リサーチは、進行中のColdcardハードウェアウォレットの脆弱性を突いた攻撃により、1,719BTC(約1億1,100万ドル相当)が盗まれたことを高い確度で確認したと発表した。調査が進むにつれ、被害総額は最終的に1億3,000万ドルを超える可能性があるという。
同社の分析によれば、確認された盗難は3つの波にわたり25種類以上の異なる攻撃パターンに及んでおり、ギャラクシーはこれを単一の攻撃者による組織的な犯行ではなく、複数の脅威主体がそれぞれ独立して同じ欠陥を悪用した証拠だとしている。
2021年のファームウェアの不具合が原因
根本的な原因は、2021年3月のファームウェア統合時の誤りにさかのぼる。この誤りにより、対象デバイスのシード生成処理が、Coldcardに搭載されたSTM32チップ本来のハードウェアベースの乱数生成器ではなく、決定論的なソフトウェア乱数生成器へと誤って振り分けられていた。この欠陥は、2021年3月17日以降にリリースされたファームウェアを実行しているColdcard Mk3、Mk4、Mk5、Qの各デバイスに限られるとみられるが、裏を返せば、その間に脆弱なデバイス上で生成されたウォレットシードは、この不具合を解析した攻撃者にとって理論上は予測可能だった可能性があることを意味する。
関連記事: Coldcardハッキング、被害額1億1,100万ドル超に 被害者の中央値損失は1BTC
動かぬ資金、猶予はあるか
注目すべきは、ギャラクシーの研究者らが、盗まれた資金の大半が依然としてオンチェーン上で未使用のまま残っていることを突き止めた点だ。攻撃者はビットコインを新規ウォレットへ移動させているものの、典型的なマネーロンダリング経路を通じた換金や分散はまだ行っていない。これは、汚染されたコインが実際に現金化される前に、捜査当局や取引所がそれらにフラグを立てる猶予がまだ残っている可能性を示すパターンだと言える。今回の事件は、ハードウェアウォレットのセキュリティ全般にとって厳しい局面が続く中で起きたものであり、被害額が1億1,100万ドルを超えた当初の報道で被害者の中央値損失が1BTCだったと伝えられた件からの続報にあたる。
