Coldcardのファーム不具合でビットコイン流出拡大、被害は約1億3,000万ドル規模に

BlockのBitcoin Engineering & Securityチームと独立系のBitcoin Core開発者は、Coinkiteのハードウェアウォレット「Coldcard」で発生した一連の資金流出について、特定のファームウェア欠陥が原因だと突き止めた。問題は、ユーザーがシードフレーズを扱う前段階で、自己管理（セルフカストディ）の前提となる乱数生成が弱体化していた点にある。 欠陥の中核は、乱数源がSTM32のハードウェア乱数生成器から外れ、MicroPythonの決定論的フォールバック（Yasmarang）に切り替わっていたことだ。Mk2およびMk3でファームウェア4.0.1〜4.1.9を動かしていた個体では、生成されるシードの暗号学的ランダム性が小さく探索可能な集合へと崩壊した。Mk4、Q、Mk5は影響が相対的に軽いとされるものの、エントロピーは約72ビットにとどまり、設計上の128ビットを大きく下回った。 この種の"弱いシード"が厄介なのは、オフライン保管や金庫保管など、一般に推奨される運用が被害回避に直結しない点だ。12語または24語のリカバリーフレーズを慎重に保管し、デバイスを長期間オフラインにしていても、攻撃者がフォールバック生成器の狭い出力空間を探索すれば鍵を再構成できる余地が残る。 Coinkiteは、修正版の適用で防げるのは"更新後に新規生成するシード"に限られると説明している。既に欠陥経路で生成されたシードは修復できないため、影響を受けるユーザーには新しいシードを作り直し、資金を移動するよう勧告した。別メーカーのウォレットに古いフレーズをインポートしても弱点は消えない。問題はデバイスの外側ではなく、復元用の単語列そのものに付随するからだ。 今回の不具合は、Coldcardが強みとしてきた"Bitcoin専用ファーム"、エアギャップ署名、デュアルセキュアエレメント、ソース公開、再現可能ビルドといった要素とは別の層で発生した。公開されたファームウェアを再ビルドし、配布バイナリと一致することは配布の完全性を示すが、設計上の欠陥を見抜くにはソースのより深い監査が必要になる。脆弱な経路は2021年以降のリリースに含まれ、今年7月の開示まで約5年間、コードが公開されていたにもかかわらず見落とされていたという。技術ノートでは、ファームウェア内に正しいハードウェア乱数生成器が存在することは確認されていた一方、シード生成ルーチンがそこへ到達しているかの確認には至っていなかったとされる。 例外とされるユーザー層もある。強く一意なBIP39パスフレーズを設定していた場合、ニーモニック（単語列）に加えてパスフレーズが鍵導出に関与するため、単語列だけの復元攻撃に対しては抵抗力が高い。それでもCoinkiteは移行を推奨している。また、公正で独立した秘密のサイコロロールを50回以上行い外部エントロピーを追加していた場合、デバイス側の欠陥が唯一の入力でなくなるため、この特定の問題の対象外とされる。 Xapo BankのCISOであるAndrew Mannoukas氏はCryptoSlate向けのコメントで、教訓は"ハードウェアウォレットが悪い"ではなく"集中（単一点）にある"と指摘した。"ビットコインの安全性が、単一のデバイスが、その場限りの一度きりの瞬間に作った単一の秘密に還元されると、その瞬間に織り込まれたあらゆる前提を背負い込む"という。 マルチシグについても注意が必要だ。2-of-3は単一鍵の侵害で資金移動を防げる一方、3本の鍵が同じ欠陥実装や同じ乱数生成の前提に依存していれば、失敗領域は分散しない。Coldcardの文書では、1台のデバイスで複数の共同署名者を異なるパスフレーズで作る構成も可能だが、実装依存という単一点が残り得る。焦点は"マルチシグかどうか"から、"各鍵を誰が、どの実装で、どの乱数源で生成したか"へ移っている。 被害の規模は段階的に積み上がって報告されている。初期のスイープでは約500ウォレットから約594 BTCが移動した。オンチェーン調査では、少なくとも3回の波として合計約1,367 BTC、4,500超のアドレスが関連し、当時の価値で約8,900万ドルとされた。8月3日には第4波の可能性が伝えられ、総額が約1億1,400万ドルに近づくとの見方も出た。Galaxy DigitalのAlex Thorn氏は、チェーン上のパターンだけでは一部アドレスと脆弱なColdcardファームウェアの因果を確定できず、帰属は暫定的だと注意を促した。 その後、8月4日にLookonchainがGalaxy Researchを引用して更新し、Coldcard関連の損失は7,700超の影響アドレスにわたり2,055 BTC、価値にして約1億3,000万ドルに達した可能性があると推計した。 背景として、暗号資産の被害は暗号そのものより鍵管理や運用面が標的になりやすい。TRM Labsは2026年上期、主に秘密鍵・シードフレーズの窃取といったインフラ／運用面の侵害が、ハックで盗まれた価値の約76%を占めた一方、件数ベースでは全体の約15%だったとした。CertiKも同期間において、ウォレット侵害が最も損失の大きい攻撃カテゴリで、33件合計で4億4,400万ドル超と集計している。攻撃者にとって収益性が高いのは、暗号の破りではなく鍵の周辺にある仕組みと手続きだという構図が続く。 Coinkite創業者のRodolfo Novak氏は公に謝罪し、全面的に責任を負うとした上で、警察への被害届、保険請求、ブロックチェーン調査への協力を申し出た。8月3日時点で、補償は対策として提示されていない。取引所なら準備金や保険、バランスシートで穴埋めできる場合があるが、ハードウェアウォレットは製品を販売した後、ビットコインの管理責任を基本的にユーザー側へ委ねるため、欠陥による損失の扱いはユーザーとメーカーの間で未解決になりやすい。 今後の見通しとしては、移行が進み新たな波の発生を上回れば、各社はエントロピーのアテステーション（検証・証明）、シード生成テスト、緊急時の鍵ローテーション支援などを強化し、パスフレーズ、外部サイコロエントロピー、適切に分散したマルチシグが"上級者向け"から標準ガイダンスへ移る可能性がある。一方で、他モデルや初期設定手順に別の"弱いシード経路"が見つかれば、パッチが追いつく前に信頼が損なわれる懸念も残る。慌てた移行は、アドレス再利用などのミスや拙速な送金、移行者を狙うサポート詐欺の増加といった二次被害も招きうる。 自己管理は、取引所が出金を止めたり、資産を再担保化したり、顧客資産を抱えたまま破綻するといったリスクを遠ざける。一方で"乱数を鍵に変換する装置"を支えるメーカーという依存は残る。単一のデバイスが一度きりの瞬間に生んだ単一シードが主権たり得るのは、それを支える独立した第二の前提があって初めてだという現実が、今回のColdcard事案で改めて突きつけられた。