ColdcardのRNG不具合で約1,816BTC流出の可能性　該当ユーザーにウォレット再作成を要請

ハードウェアウォレット「Coldcard」を手がけるCoinkiteは、乱数生成（RNG）に関する脆弱性を受けてセキュリティ更新を2本提供し、一部ユーザーに対しウォレット（シード）を作り直して該当シードで管理しているビットコインを移動するよう呼びかけた。 同社は7月31日の緊急ホットフィックス後、3週間のレビューを実施。Mk4/Mk5向けにファームウェア5.6.1、Coldcard Q向けに1.5.1Qを公開した。レビュー対象は、先に判明したシード生成の失敗に加え、署名、デバイス接続、ファームウェア導入、乱数チェックなど。Coinkiteは今回の問題で損失を被った顧客がいることを認め、シード生成手順を見直してユーザー自身が提供するエントロピー（乱数要素）を必須とした。 ■影響範囲 影響を受けるのは、特定の旧ファームウェアで作成されたシード。Coldcardで作成されたシードがすべて対象になるわけではない。 ・Mk2/Mk3：ファームウェア4.0.1〜4.1.9で作成したシード ・Mk4/Mk5：標準版5.6.0（またはEdge 6.6.0X）より前で作成したシード ・Coldcard Q：標準版1.5.0Q（またはEdge 6.6.0QX）より前で作成したシード Mk1および他のCoinkite製品（TAPSIGNER、OPENDIME、SATSCARD）は別ソフトウェアで動作しており、今回の開示の対象外とされる。 ■シード生成はどう安全になったか 更新後に新規作成するシードは、ユーザーが入力する少なくとも1つの乱数源を必ず含み、デバイスのSTM32ハードウェアTRNG（真性乱数生成器）と2つのセキュアエレメント（SE1、SE2）と組み合わせて生成される。 ユーザー側エントロピーの選択肢は以下。 ・予測できないタイミングのキー入力を少なくとも65回 ・公平な6面ダイスを私的に50回振った結果 ・実物コインの投げを128回 入力内容が第三者に記録されるとシード再現の手がかりになり得るため、ユーザー入力は秘匿が前提となる。なお、この更新は「更新後に生成するシード」にのみ適用され、既存シードに事後的に乱数を追加することはできない。 ■該当ユーザーが取るべき手順 1）デバイスを更新し、導入前にアップデートのデジタル署名を検証する。 2）更新後のエントロピー手順に従い、新しいシードを新規作成して検証する。 3）旧ウォレットから新シードで管理するアドレスへ資金を移す。受取アドレスはデバイス上で確認し、少額のテスト送金後に残高を移動する。 4）移行完了が確認できるまで旧バックアップはオフラインで保管する。ただし受け取り用途で旧シードを継続使用しない。 ■注意点・例外 最終的なシード単語の生成前に、公平で独立した私的なダイスロールを少なくとも50回追加していたウォレットは、約128ビットのエントロピーを既に供給しており、強制移行の対象ではないとされる。ただし、それを証明できない場合は移行を推奨。 BIP39パスフレーズは攻撃者への追加障壁になり得る一方、弱いシード自体を修復するものではない。Coinkiteはパスフレーズを使っていた場合でもリカバリーフレーズの置き換えを勧めている。 ■技術的背景と被害推定 問題の起点は2021年3月のファームウェア変更にあり、STM32のハードウェアTRNGではなく、決定論的なMicroPythonルーチンへフォールバックしてシードを生成してしまう可能性があったという。Blockによるレビューでは、旧Mk2/Mk3で実効エントロピーが約40ビット、影響を受けるMk4/Mk5/Qで約72ビットと推定され、想定の128ビットを大きく下回るため、一部シードがオフラインで探索可能になり得た。 研究者はこの不具合に関連する攻撃波を4回疑い、5,200超のアドレスから推定約1,816BTCが持ち去られた可能性を指摘している（調査継続中のため推計は変動）。ブロックチェーン分析企業Galaxy Researchは、疑いのある攻撃者アドレスを取引所および米国の法執行機関と共有。8月上旬時点で、確認済み攻撃波で移動したビットコインの約90%は特定された送付先ウォレットに残っているとされた。 ■その他のファームウェア改善点 ・署名前の直前に、部分署名済みビットコイントランザクション（PSBT）を段階的に検証 ・デフォルトのSIGHASH処理を変更し、署名がカバーするトランザクション範囲を調整 ・USB境界とファームウェア更新チェックの強化、Delta Modeでの分離改善、バックアップ挙動の修正、RNG初期化と障害に関する追加チェック ■市場への示唆 本件は、シード生成における真性乱数の重要性と、弱いシードがもたらすリスクを改めて浮き彫りにした。攻撃者が有力なシード候補を導ける場合、端末への物理アクセスやPIN、ネットワーク攻撃なしでアドレスを算出し資金を流出させ得る。資金を取引所などカストディ先へ移す動きも一部でみられ、第三者リスクへの移転と引き換えに取引所への流入増加が観測されている。 ■結論 脆弱とされるファームウェアで作成したColdcardのシードに該当する場合、直ちにデバイスを更新し、更新後のエントロピー手順で新シードを作成したうえで、Coinkiteが推奨する検証手順に従ってビットコインを移行したい。更新導入前の署名検証を徹底し、移行完了を確認するまでバックアップは保持することが重要となる。