Coldcardの乱数生成不備でビットコイン約100百万ドル相当流出、数千人に影響

ビットコインを安全に保管するための定石を尽くしていたはずのジョナサン・グッドマン氏（トロントの起業家）が、Coldcardの不具合を突かれ資産を失った。氏によれば7月29日、保有していたウォレットがすべて空になり、最後の1サトシまで抜き取られたという。被害は18.25BTCで、当時の評価額は約117万ドル超。8月1日のX投稿では「最もつらいのは、やるべきことはすべてやったのに、という点だ」と記した。 この被害は個別事例にとどまらない。Galaxy Researchは、一連の攻撃により約7,300のアドレスから計1,596BTC（1億ドル超相当）が盗まれた可能性が高いと分析。調査責任者のアレックス・ソーン氏は8月4日、少なくとも15の攻撃者が同じ欠陥を悪用していたと推計した。いずれも端末への物理アクセスは不要だったという。 ハードウェアウォレットの根本的な前提は、秘密情報がチップ外へ出ず、ネット接続がなければ外部から侵入できない点にある。紛失や、いわゆる"レンチ攻撃"といった現実的なリスクは残るものの、オンライン攻撃に強いことが最大の売りだ。ところが今回のColdcardでは、その約束が崩れた。 問題は端末そのものではなく、コインを守る秘密情報（シードフレーズ）の生成方法にあった。ウォレットには、ネット接続端末上で動作するソフトウェア型（ホットウォレット）と、鍵をオフライン端末に保持するハードウェア型（コールドウォレット）がある。初期のコールドウォレットとしては、鍵を紙に書く"ペーパーウォレット"も知られるが、紛失・毀損のリスクが大きい。ハードウェアウォレットはその中間に位置し、ソフトより侵害されにくく紙より管理しやすい一方、絶対ではない。そもそも鍵生成が正しく行われていることをユーザーは製造元に依存せざるを得ない。 TEXITcoin創業者のボビー・グレイ氏はCoinDeskに対し「エアギャップは助けになるが万能ではない。鍵生成の段階から始まり、保管プロセスのあらゆる局面でセキュリティが必要だ」と語った。今回、その弱点が露呈した形だ。 Coldcardを手がけるCoinkiteは2016年3月、ホスト型ホットウォレットの終了を顧客に通知した。サービス妨害を狙う大量の不要トラフィック、法務コスト増、規制対応の複雑化が背景にあった。同社は分散型ハードウェアと"softwarenotasaservice"への転換を掲げた。これはビットコインの2回目の半減期前で、1BTCが約400ドルをわずかに上回る水準だった時期にあたる。 転換の最初の成果が2016年4月のOpendimeだ。USBスティックが秘密鍵を生成・秘匿し、物理的な持参証券のようにビットコインを受け渡せる。封印を物理的に破ると鍵が露出し、資金を使用できる仕組みだった。その後にColdcardが続き、Coinkiteは2017年12月、「The World Needs An Open, Cheap & Ultrasecure Hardware Wallet.」の見出しで発表。既存製品は高価で専用アプリ依存が強いとして、テンキー、画面、セキュアエレメント、MicroSDスロットを備えた設計を提示した。署名前後の取引ファイルをMicroSD経由でPCとやり取りでき、ライブ接続を不要とするのが特徴で、Coinkiteのアカウントやデスクトップアプリも要らなかった。初回出荷は2018年。 2019年4月の次期モデルは機能を追加。アップデートのたびに複雑化し、より高度になっていった。Coldcardは、取引内容の精査、バックアップ管理、独自の防御モデル構築を厭わない層に刺さり、強制PIN、暗号化MicroSDバックアップ、マルチシグ対応、ユーザーがサイコロを振って乱数に寄与する機能など、対抗的な環境を前提にした機能を揃えた。ソースコードも公開され、ファームウェアを検証・再現ビルドし、配布物と一致するか比較できる点が"Don't trust, verify"の思想と合致していた。 それでも、肝心のシード生成の不備は見落とされた。問題は2021年の大規模なソフト変更で入り込み、数年にわたり気付かれなかった。Coinkiteはファームウェア4.0.0を"All New Code, Same Great Features."として告知し、コード刷新や再現ビルドの導入を行ったうえで、"switck"というアカウントの"new source code library"に謝意を示した。 ビットコイン開発者のジェームズ・オベアーン氏は、"switck"がCoinkite共同創業者ピーター・グレイ氏だと特定したと述べる。同氏によれば、"switck"名義で公開された58件の変更が、グレイ氏自身の名義での変更に使われていたのと同一の暗号署名を伴っていた。こうした署名は耐改ざん性のある"デジタルなサイン"として機能し、同じ秘密鍵で承認された作業であることを示す。Coinkiteはこの指摘に回答していない。 switckが開発したとされるlibnguは、Coldcardのファームウェアに組み込まれる再利用コード群で、その役割の一つがウォレット生成時の乱数の生成支援だった。オベアーン氏は2025年5月にColdcardのコード監査を行い、乱数の源泉がlibnguにあることを追跡したうえで欠陥の可能性をCoinkiteに伝えたという。会社側は「本当に問題があるならすでに見つかっているはず」との趣旨で応じたと同氏は述べ、後にピーター・グレイ氏について「2025年5月の指摘を軽く流したのと同じ人物だ」と記した。 乱数は極めて重要だ。新規ウォレットは膨大な候補からシードを選ぶ必要があり、その予測不能性は"エントロピー"（予測不可能性）をビット数で表す。1ビット増えるごとに候補は2倍になり、推測は困難になる。Coldcardは本来、端末内の専用ハードウェア乱数生成器から乱数を得る設計だった。ところが設定の不備により、端末やタイミング情報などを材料にする簡易なソフトウェア生成器へ迂回していた。こうした情報は完全な乱数ではないため絞り込みや再現が可能で、攻撃者が試すべきシード候補の範囲が大幅に縮む。 要するに、Coldcardは本来、どんなコンピューターでも総当たり不可能な規模の候補集合から秘密を選ぶべきだったが、配線ミスのような設定上の問題で、より小さく弱い源泉に切り替わり、攻撃者が現実的に探索できる規模にまで縮小してしまった。 Blockのビットコイン・エンジニアリング／セキュリティチームによると、原因は2つのソフトウェアが設定値を読み取る際のやり取りにあった。Coldcardが別の乱数源を追加した後、ある乱数源を無効化するための設定が用意されていたが、libnguはその設定が"存在するかどうか"しか確認せず、オン／オフの状態を見ていなかった。その結果、ビルドは正常に通りながら誤った生成器が使われ続けた。 Blockは、影響を受けたMk2およびMk3ではこの過程で安全な乱数が供給されなかったとしている。Mk4、Q、Mk5は一部を得ていたものの、ソフトウェアが保持するのはごく一部にとどまった。Coinkiteは、これら新しい機種で本来128ビットの乱数が72ビットになっていたと推定しており、候補数は約72千兆倍も少なくなる計算だ。 Blockは脆弱なコードが2021年3月17日公開のファームウェア4.0.0に遡るとした。Coinkiteは、Mk2とMk3では4.0.1が最初の影響版だと説明している。ソースコードは公開され、完成したファームウェア内に正しいハードウェア生成器のコンポーネント自体は存在した。レビュー担当者はその存在を確認したものの、シード生成プロセスを端から端まで追って、実際にどの生成器が使われているかを突き止める検証には至らなかったという。Coinkiteは、盗難発生前に実施したAI支援レビューでも見落としがあったとし、事後に複数の主要AIモデルでテストしても同様に問題を特定できなかったと述べた。 Coinkiteは不具合の詳細な説明を改めて公表するとし、被害顧客への個別対応を進めているという。CoinDeskのコメント要請には回答していない。 同社は影響を受ける全Coldcardモデル／リリーストラック向けに修正版ファームウェアを公開した。更新により今後のシード生成は修正されるが、脆弱なソフトで既に作られたシードの強度は向上しない。Coinkiteのアドバイザリーでは、対象ユーザーは修正版をインストールし、新しいシードを生成したうえで、そこから導出される新アドレスへビットコインを移す必要があるとしている。 Coldcardは、カストディアンを排し、信頼すべき相手を減らすというビットコイン的な自己保管の思想の上に成り立っていた。今回の事件は取引所や銀行への信頼を取り戻すものではない一方で、自己保管が別の依存を生むことを浮き彫りにした。鍵はユーザーが握るが、その鍵が安全に生成されたかどうかは、最終的にウォレットメーカーの実装に左右される。 グッドマン氏の100万ドル超相当のビットコインの鍵は、オンライン接続歴のない端末にあり、貸金庫で保管されていた。それでも、Coldcardのシード生成ソフトの欠陥によって、物理的な防護は結果として意味を持たなかった。