Coldcardで5年放置のファーム不具合突かれる　ビットコイン約100億円超が流出

SwanのCEO、コリー・クリップステン氏はパリでの結婚式に出席中、被害を知らせる連絡が相次いだという。"多くの人がビットコインを失い、あまりに過酷な週末だった"と同氏はインタビューで語り、"太平洋時間の利用者が資産を安全な場所へ移すのを手伝うため、午前4時にメッセージを送っていた"と振り返った。 発端は先週木曜日。攻撃者がColdcardのハードウェアウォレット数千台からビットコインを引き出し始めた。原因は5年間見過ごされてきたファームウェアの欠陥で、Coinkite製ウォレットの2021年3月のファームウェア更新に不具合があり、利用者の秘密鍵が本来より弱い状態になっていた。 Galaxy Researchによれば、攻撃は3回の波に分かれて広がり、約7,300のアドレスから合計約1,600BTC（1億ドル超相当）が移転されたという。 米国拠点で個人向けにビットコインの購入・保管・セルフカストディを支援するSwanは、リスクのある顧客について出金を一時停止。アプリ内警告を配信し、顧客以外にも移行支援の窓口を開いた。"チームは手元の作業を止めて顧客に電話をかけ始め、Swanの利用経験があるかどうかに関係なく、助けが必要な人すべてに対応した"とクリップステン氏は述べた。 発生から1週間が経過した時点でも、盗まれたコインの約90%はオンチェーン上で動いていないとされる。特定済みの攻撃者アドレスは米連邦当局とも共有され、トロントに拠点を置くCoinkiteは影響を受けた全デバイスラインにパッチを適用した。OpenSatsの資金提供を受けたボランティアチームは、150超のオープンソース・リポジトリを調査し、問題がColdcard以外に波及した形跡は見つからなかったという。 今回の事案を受け、セルフカストディの意義に疑問を投げかける声も出ており、投資家は自分で保有する代わりにETF（上場投資信託）などを通じた購入を検討すべきだとの見方もある。 一方、クリップステン氏は、顧客がセルフカストディから退く動きは見られないと指摘。むしろ、資産へのアクセスをより困難にする手段を探っているという。"いま、人々はSwan Vaultに移っている"と同氏は述べた。これは協調型のマルチシグ商品で、単一デバイスの侵害だけで利用者資産が危険にさらされない設計だ。"セルフカストディを捨てるのではなく、強化している"という。 同氏の総括は慎重な楽観だ。"コインを失ったのは痛ましい。業界で名の知れた人たちが勧める通りに、彼らは'正しい'ことをしていた。それでもビットコインは反脆弱で、ツールは刻一刻と強くなっている。結果的に、セルフカストディにとって最良の出来事になる可能性もある"と語った。