Coldcardの脆弱性悪用でBTC約111百万ドル流出、攻撃パターン25種類超を確認

Coldcardウォレットを狙った脆弱性悪用は、当初想定より被害が拡大している。調査当局は、少なくとも1,719BTC（約1億1,100万ドル）が被害者から盗まれたことを確認した。Galaxy Researchは、確認作業中のコインがなお多数あるとし、総損失は1億3,000万ドルを上回る可能性が高いとみている。 同社のリストにある"疑わしいが未確定"の事例が今後確認に至れば、被害総額は2,300BTCを超える可能性があるという。 今回の事案は、2021年3月17日以降にリリースされたファームウェアを搭載する一部のColdcardウォレットに存在した欠陥が原因とされる。欠陥はシード（wallet seed）の安全性または生成過程に影響した可能性があり、シードはビットコイン（BTC）ウォレットのマスターキーに当たるため、攻撃者がこれを再現できれば、デバイスを物理的に侵害せずとも資金へアクセスできたとみられる。 ファームウェアのリリース時期が焦点となったのは、調査で同日以前に作成されたウォレットからの流出が確認されていないためだ。Galaxy Researchは、3つの波にまたがって25種類超の攻撃パターンを特定しており、複数の脅威アクターが脆弱性を悪用した可能性を示唆している。 被害の広がりについては、これまでに250人超の被害者が損失を報告している。一方、影響を受けたアドレス数はさらに多い可能性がある。被害者1人が複数のウォレットを利用していたケースも想定されるためだ。 Galaxy Researchは、すべてのColdcardウォレットが露出したわけではないとしつつ、Mk3、Mk4、Mk5、Qの各モデルが脆弱だった可能性が高いと指摘する。いずれも2021年3月17日以降のファームウェアを実行していたモデルだという。 このColdcardの脆弱性悪用は7月30日に発生。攻撃者は15〜25分の短時間で約500のウォレットから約594BTC（約3,800万ドル）を引き出し、ビットコインコミュニティに懸念が広がった。ただし、ビットコインのコアネットワーク自体は影響を受けなかった。 要点：Galaxy Researchは3つの波で25種類超の攻撃パターンを確認。未確定分が確定すれば、総被害は2,300BTCを上回る可能性がある。