Coldcardハードウェアウォレットを悪用した窃盗事件の規模が大幅に拡大している。Galaxy Researchの最新の推計によれば、7月30日のわずか41分間で、1,196個のアドレスから1,082.65BTC(約7020万ドル相当)が流出したという。この新たな数字は、AnchorWatchのCEOロブ・ハミルトン氏による当初の推計をほぼ2倍に押し上げるものだ。ハミルトン氏は当初、3ブロックの範囲で約500件の取引にわたり594.48BTC(約3800万ドル相当)が盗まれたと指摘していた。
Galaxyによる詳細な分析では、今回の窃盗はブロック960,183から960,191にかけて発生したとされ、流出は協定世界時(UTC)午前1時10分に始まり、7月30日午前1時51分までに完了したと特定されている。
一貫する攻撃者の「指紋」
研究者らは、被害を受けた取引群全体に共通する特徴的なパターンを特定した。すべての一斉送金が1仮想バイトあたり30サトシという一律の手数料を使用しており、おつり用のアウトプットも含まれていなかった。これは、無関係な複数の攻撃者による便乗行為ではなく、単一の自動化されたオペレーションであることを示唆している。ただしGalaxyは、この「指紋」が今後の事件でも当てはまるとは限らないと注意を促しており、「Coldcardで生成されたアドレスを狙う今後の攻撃は、同じ指紋パターンをたどらない可能性がある」と指摘している。
Coinkiteの対応
Coinkiteの共同創業者ロドルフォ・ノヴァク氏は今回の脆弱性を認め、「当社はこのファームウェアのバグについて責任を負う」と述べた。同氏は、脆弱なファームウェアでシードを生成したユーザーに対し、単にパッチを適用するのではなく、新たに生成したシードへ資金を移すよう強く呼びかけている。ファームウェアの更新だけでは、すでに安全でない方法で生成された鍵をさかのぼって保護することはできないためだ。Coinkiteはその後、シード生成から脆弱なソフトウェアのフォールバック経路を取り除くホットフィックスをリリースしている。
なぜ推計額が膨らみ続けるのか
当初の3800万ドルという推計と、Galaxyが示す7020万ドルという数字との間に大きな開きが生じていることは、オンチェーンのフォレンジック分析がウォレットレベルの脆弱性事件の理解される規模を、いかに急速に塗り替え得るかを物語っている。攻撃からおよそ30時間後にセキュリティ勧告が公表されたこともあり、一部の被害者はGalaxyによるより完全な集計が8月1日に判明するまでの間に資金を移動できなかった可能性がある。この点は、ファームウェア更新だけを十分な保護策とみなすのではなく、ホットフィックス済みの新たなシードへ移行するようにというCoinkiteの助言の緊急性を改めて浮き彫りにしている。
