Coldcardウォレット、1億1,400万ドル流出の攻撃継続でユーザーに資金移動を緊急要請

ビットコイン用ハードウェアウォレット「Coldcard」を開発するCoinkiteは、自己管理（セルフカストディ）ウォレットから最大約1億1,400万ドルが流出している攻撃が現在も続いているとして、ユーザーに対し保有BTCの移動を急ぐよう呼びかけた。火曜日に同社は「緊急として扱ってほしい。資金を移行してほしい」と投稿し、脅威はアクティブなままだと強調。手動対応が必要なため影響を受けやすい「普段あまりオンラインにいない」保有者にも注意喚起を広げるよう求めた。 同社の警告は念のためのものではない。CoinDeskは月曜日、スイープ（自動的な一括送金）とみられる第4波が日中に発生し、Galaxy Researchの更新集計で709アドレスから約449BTCが奪われたと報道。累計被害は約8,900万ドルから最大約1億1,400万ドルへ拡大したという。 問題の起点は2021年から潜伏していたファームウェア上の欠陥にあるとされ、単一の鍵で資金が動かせて追加承認を要しない設定のままでは、保有者が手当てを行うまでリスクが残る。影響は特定の機種とファームウェアに限定される。 具体的には、2019年モデルのMk3は、ファームウェア4.0.1以降でセットアップしている場合、直ちに資金を移すべきだとする。一方、Coinkiteによれば、デバイスの「dice」機能（少なくとも50回サイコロを振って目を入力し、その数値から鍵を生成する方式）を使ったユーザーは例外で、該当ウォレットは問題のコードに触れておらず安全だという。 Mk4、Mk5、Qの各モデルについては、ファームウェアが5.6.0未満（Qは1.5.0Q未満）の場合、アップデート後に新しいウォレットを作成し、コインを移し替えることが推奨されている。 シード（seed）はウォレットの資金を支配するマスターキーであり、乱数の品質が低いと攻撃者に推測・再生成され、デバイスに触れずに資金を引き出される恐れがある。Bouzon氏はCoinDeskへのメールで、「すべてのウォレットは高品質なエントロピーから生成されるルートシークレットに依存している」と述べ、エントロピー生成は安全なハードウェアに根差し、信頼できないソフトウェア由来へ密かに格下げできない設計が必要だと指摘した。さらに、代替策はより悪いとして、非セキュアなハードウェア上のソフトウェアウォレットはリスクが高く、中央集権型取引所に資産を預けることは「所有ではなくIOU（借用証書）だ」とも述べた。 CoinDeskのデータによると、火曜日の米国時間早朝のビットコイン価格は約6万3,800ドル近辺で推移し、今回の警告を受けても大きな変動は見られなかった。