Coldcardの脆弱性で推定1.3億ドルの被害、LedgerがAI活用の安全性強化を提言

Odaily Planet Dailyによると、ハードウェアウォレット大手Ledgerは、最近明らかになったColdcardの脆弱性を受け、ビットコイン向けハードウェアウォレット業界はセキュリティモデルの再検討が必要だとの見解を示した。LedgerのCTO、Charles Guillemet氏は、Ledger端末は影響を受けないと説明。復元フレーズは、ハードウェア乱数生成器を内蔵した認証済みセキュアエレメントで生成されるためだという。 Coldcardを手がけるCoinkiteは先週、エアギャップ型のColdcardビットコイン・ハードウェアウォレットに、2021年3月のファームウェア版にさかのぼる脆弱性が存在すると開示した。ソフトウェアのロールバック機構を利用してウォレットの復元シードを生成する欠陥により、一部の秘密鍵が推測可能となり、被害額は約1.3億ドルに上ると推定されている。 Coinkiteは日曜日に修正版ファームウェアをリリースし、該当ユーザーに対し、新たに生成したウォレットへ資金を移すよう呼びかけた。 Guillemet氏は、オープンソースであることは監査済みを意味しないと指摘。この脆弱性は公開コード内に5年以上存在していたとし、AIによって攻撃者が機械的な速度でコードを走査し欠陥を見つけられるようになっていると述べた。加えてLedgerでは過去2年間、セキュリティエンジニアと暗号技術の専門家がAIを組み合わせ、コードレビューと脆弱性検出を進めてきたという。 同氏は、ハードウェアウォレットを評価する際は、乱数がどのように生成されるか、そのプロセスが独立した認証を受けているかを確認すべきだと強調した。