Binance創業者のチャンポン・ジャオ(CZ)氏は、Coldcardハードウェアウォレットのファームウェア脆弱性によりおよそ7000万ドル相当の被害が発生したことを受け、ビットコイン保有者に対し資産の保管方法を見直すよう呼びかけている。Galaxy Researchの分析によれば、7月30日に41分間で1,196個のアドレスから1,082.65BTCが流出したことが判明し、これは当初の推計である約500ウォレットから25分間で594BTC(約3800万ドル相当)が流出したという数字から上方修正された。
ジャオ氏はSNS上での発信で次のように述べた。「ハードウェアウォレットにもバグはあり得る。長い実績のある古いウォレットにもバグはあり得る。どう軽減すればいいか?資金をいくつかのウォレットに分散させるのはどうだろうか」。
「完璧な解決策はない」とCZ氏も認める
ジャオ氏は、複数ウォレットへの資金分散が万能な解決策ではないことも慎重に指摘した。同氏はこの手法にも「別種のリスク」があるとし、管理すべきアドレスが増えることやユーザーの操作ミスが起きる余地が広がる点を挙げた上で、「100%安全なものなど存在しない」と付け加えた。投稿はBinanceが長年掲げてきたスローガン「Stay SAFU!」で締めくくられている。
被害をもたらした脆弱性
今回の被害の根本原因は、2021年3月に導入されたファームウェアの欠陥にさかのぼる。この欠陥により、一部のColdcardモデルでのシード生成時に、リカバリーシードの乱数性が損なわれていた。攻撃者は被害者の端末に物理的にアクセスする必要はなく、弱い乱数パターンの仕組みを理解しさえすれば、オフラインで秘密鍵を再構築できた。
Coldcardの開発元であるCoinkiteはこのバグを認め、緊急のファームウェア更新をプッシュ配信し、影響を受けた可能性のあるユーザーに対し、アップデートだけでは修正前に生成されたシードに紐づく資金を十分に保護できないとみなし、パッチ適用済みの端末で新たにシードを生成し直すよう呼びかけている。
自己管理にも独自のリスクがあるという教訓
流出した多くのウォレットは、何年も動かされていなかったという。この事実は、どれほど実績のあるハードウェアであっても、単一の機器にどこまで信頼を置くべきかという議論を改めて呼び起こしている。CZ氏が呼びかける保管先の分散は、これまで長らく取引所によるカストディに関して語られてきた助言を、業界の自己管理の側面にも当てはめたものだ。
