脆弱なシードフレーズ悪用で500以上のウォレットから594BTC流出

Atlas21によると、攻撃者は計1,324件のUTXO（未使用トランザクション出力）を引き出し、合計594BTCを盗み出した。流出したコインは現時点で取引所やミキサーには送られておらず、562BTCが新たなアドレスに、残る32BTCが中継アドレスに保管されているという。 攻撃は各トランザクションが被害者の1アドレスを丸ごと空にする形で行われた。419アドレスはUTXOが1件のみだった一方、なかにはUTXOが105件、あるいは200件まで蓄積していた例も確認された。被害額の中央値は0.41BTC（約2万6,500ドル）。1BTC超を失った被害者は110人にのぼり、最大の被害は29.9BTC（約200万ドル）に達した。0.15BTC未満の被害は確認されておらず、専門家は攻撃者が最低残高でウォレットを選別した可能性を指摘している。 事案の調査は、Redditのブロガーが暗号資産の盗難被害を報告したことをきっかけに始まった。投稿者によれば、2021年にColdcardを購入し、24語のシードフレーズを端末上で生成して入金した後、長期間操作していなかった。昨年1月、2台目のColdcardを購入し、"単語が正しいか確認するため"に旧シードフレーズを再入力したところ、資産流出に気付いたとしている。シードフレーズは第三者と共有しておらず、Coldcard上でのみ使用したと主張している。 Coinkiteは、Coldcard Mk3で生成されたシードフレーズに関連するセキュリティ問題を認めた。同社は、2021年3月に公開されたファームウェア4.0.1、またはそれ以降のバージョンを搭載するMk3でシードフレーズを作成したユーザーについて、資金が危殆化している可能性を考慮すべきだとしている。一方、Mk4、Q、Mk5は影響を受けないと説明した。 CoinkiteはMk3の所有者に対し、端末上で固有のBIP39パスフレーズを生成したうえで、新しいウォレットへ資金を移すよう推奨している。脆弱性の原因はなお特定できていないとも明らかにした。影響を受けたウォレットはいずれもマルチシグではないことが確認されている。 Atlas21のブロックチェーン分析では、問題はハードウェアウォレットそのものではなく、脆弱なシードフレーズにある可能性が高いという。影響を受けたユーザーは、すでに漏えいしていた、または推測されやすい単語の組み合わせを端末に取り込んだ可能性があるとみられる。シードフレーズ生成の"ランダム性不足"により、個別UTXOの秘密鍵が総当たりで破られやすくなり、攻撃者がこれを突いたと専門家は説明している。 また、シンガポール拠点でステーブルコインなど暗号資産決済インフラを提供するTripleAも最近サイバー攻撃を受け、被害額は1,180万ドルと見積もられている。