Coldcardのシード生成欠陥、ビットコイン資産に窃取リスク　Mk3利用者は移動検討を

ハードウェアウォレット「Coldcard」を手がけるCoinkiteは、Coldcard Mk3で生成された一部のシード（復元用ニーモニック）が攻撃者に推測・再現される恐れがあるとして、該当ユーザーに資産移動を検討するよう促した。対象は、Mk3でファームウェア4.0.1以降のリリースで生成されたシード。Bitcoin Coreコントリビューターのinstagibbsは、新規初期化したMk3上で脆弱なシードを再現できたと報告している。 Coinkiteによれば、Mk4およびMk5もファームウェア5.6.0未満では影響を受け、Qデバイスも1.5.0Q未満で影響がある。これらの機種の影響はMk3ほど深刻ではないとしつつも、「重大」であるとの認識を示した。Coinkiteは根本原因について正式な技術レビューを実施する予定。 今回の論点は、ウォレットが本来備える防御（セキュアストレージ、オフライン署名、オンデバイス検証、エアギャップ）が機能する以前の段階、つまり「シード生成」にある。シードフレーズの安全性は、膨大な候補の中からどれを選ぶかを決めるエントロピー（乱数の質）に依存する。乱数が弱いと候補空間が狭まり、攻撃者は候補シードを試してアドレスを導出し、別の端末から入金を監視できる。生成が予測可能であれば、開始時点でエアギャップの前提が崩れ、窃取はリモートでの探索問題に変わる。該当シードが制御する既存アドレスはそのまま残るため、対処には新しい鍵（新シード）の作成と、オンチェーンでの資金移動が必要になる。 ファームウェア更新は今後のセットアップ手順を改善できても、すでに生成済みのシードが支配する旧アドレスの鍵素材を置き換えることはできない。完全な是正策は「新シードの生成＋送金」に限られる。 ■各セキュリティ層と今回の限界 ・エアギャップ：オンライン接続で鍵が漏れるのを防ぐが、生成時にシードが予測可能なら防げない ・セキュアストレージ：既存秘密鍵を隔離するが、元の鍵素材が弱ければ効果が薄い ・オフライン署名：署名時のオンライン接続を不要にするが、シード生成後の支出保護にとどまる ・オンデバイス検証：画面で送金先や金額を確認できるが、十分なエントロピーで生成されたことは証明しない ・ファームウェア更新：将来の挙動は改善できるが、旧シードが支配するアドレスは置き換えられない ・新シード＋送金：新しい鍵素材へ資金を移す唯一の完全対処 ■最もリスクが高い保管形態 Coinkiteが示す「露出が最も明確なプロファイル」は、影響を受けるMk3がシードを生成し、単一署名（シングルシグ）で管理しているケース。追加のダイスエントロピーがなく、BIP39パスフレーズなし、マルチシグなしの場合、暗号学的な根はデバイスのシード生成器のみになる。 Coinkiteは、強くユニークなBIP39パスフレーズが独立した防壁になり得るとしつつ、短い・一般的・規則的・引用符付き・使い回しのパスフレーズは推測される可能性があると警告する。パスフレーズはデバイスPINとは別で、同じニーモニックから別ウォレットを導出するため、攻撃者はニーモニックとパスフレーズの双方を得る必要がある。それでも、強いパスフレーズを使っていても新シードへの移行を推奨している。 マルチシグを用いれば、支払い閾値に独立した鍵が必要となるため、単一の弱いシードの影響を単一署名者に封じ込められる。ユーザーがサイコロでエントロピーを追加する方法もあり、Coinkiteの高度な手順ではダイスのみのインポートフローで「公平な99回以上」のロールを求めている。 一方で、これらの強化策は運用面の注意が欠かせない。パスフレーズを紛失すれば所有者が復旧不能になり得る。記録が不十分なマルチシグは復旧を難しくする。ダイス記録の漏えいは置き換え後のシード露出につながる。 Coinkiteは移行手順として、バックアップの検証、フィンガープリントと受取アドレスの確認、小額のテスト入金を経て残高を移す流れを推奨する。焦りによるアドレス誤入力、脆弱な一時ウォレットの採用、不完全なバックアップといった二次被害を抑える狙い。 ■保管設定別のリスク整理 ・Mk3生成シード、シングルシグ、パスフレーズなし、ダイスなし、マルチシグなし：最も高リスク（影響シードが唯一の暗号学的ルート） ・Mk3生成シード＋BIP39パスフレーズ：強くユニークな場合に限り相対的に低下（ニーモニックとパスフレーズの両方が必要） ・Mk3生成シード＋マルチシグ：他署名者が独立していれば低下（単一の弱いシードでは支出不能） ・Mk3生成シード＋ユーザー提供のダイスエントロピー：公平で非公開のロールを少なくとも50回追加できていれば低下（50回未満、またはロールに不確実性がある場合は移行が必要） ・影響のないデバイスで新シード生成：是正策（新しい鍵素材へ資金移動） ・未検証のウォレット/アドレスへ慌てて移行：新たな失敗リスク（緊急対応が別の損失を招く） ■コールドストレージに"保守"の問題 CoinkiteはMk3向け最終ファームウェアを2023年6月に公開した一方、2026年7月のアドバイザリでは、Mk3が2021年3月以降に生成したシードを対象としている。製品サポート終了から緊急の保管行動まで約3年のギャップが生じ、コールドストレージがレガシー保守課題になり得ることを浮き彫りにした。 長期保有者は数年に一度しかデバイスを起動しないことがあり、古い製品ページは目に触れにくく、メーカー告知を数カ月見落とす可能性がある。シードはデバイスやファームウェア、当時のサポートチャネルより長生きするため、保管システムには持続的なアラートと、繰り返し実行できる移行手順が必要になる。メーカー側も、エントロピー設計の公開、機種別アドバイザリ、鍵ローテーション手順書を最終販売後も長期に参照可能な形で残すことが求められる。 Coinkiteのセキュリティ文書は、オープンコードと再現可能ビルドを検査手段として挙げる。レビュー担当者はソースと配布バイナリを突合できるが、休眠していたシードを生む特定のコードパスが精査されるまで欠陥が残ることもある。再現可能バイナリは"どのコードが動いたか"を示す一方、乱数品質の保証には別途テストが必要だという点が強調される。 ■今後のシナリオ 強気シナリオでは、影響ユーザーがテスト送金を挟んで慎重に鍵をローテーションし、Coinkiteが根本原因を明確に公表、各社がシード生成のエントロピーテストや長期の告知チャネルを強化する。結果として、パスフレーズ、マルチシグ、独立乱数の利用が広がり、単一残高に対して複数の暗号学的防壁が形成される。 弱気シナリオでは、休眠していたMk3ウォレットが旧シードのまま入金を受け続け、盗難報告や緊急の呼びかけで初めてアドバイザリを知るケースが増える。慌てた送金は、未検証アドレス、脆弱な一時ウォレット、バックアップ紛失などで追加損失を招き、根拠の薄い盗難主張が無関係なオンチェーン移動まで欠陥に結び付ける恐れがある。 ハードウェアウォレットは、保管と支出の局面で鍵を守ることでセルフカストディを現実的にしてきた。今回のColdcardの警告は、その安全モデルをセットアップ、監視、ローテーションにまで拡張し、あらゆるシードがデバイス寿命を超える長期メンテナンス対象になり得ることを示している。