COLDCARDのシード不具合悪用、最大攻撃者は1,159BTCを保持　別口は64BTCをミキサー経由で移動

COLDCARDを巡るシード生成の脆弱性悪用は、オンチェーン上でなお進行中だ。最大規模の攻撃者とみられる主体は、7つのアドレスに分散させた計1,159BTCを依然保有したまま動かしていない。一方、別の主体が少額をミキサーに通し始めており、捜査側にとって新たな追跡経路が生まれている。 Galaxy Researchのオンチェーン監視によれば、最大の盗難分である1,159BTCは約41分の間に7アドレスへ一括で移され、その後は残高移動が確認されていない。取引所やミキサー、一般的な換金サービスへの送金も現時点では見られない。ビットコインは、アドレスがフラグ付けされたことを理由にプロトコル側で送金を停止できる仕組みではないため、資金が"凍結"されているわけではない。ただし法定通貨化や規制準拠サービスへの持ち込みは、AML/KYCのチェックにかかる可能性が高い。 法執行機関、取引所、分析企業は、今回の広範な盗難に関連するとみられる約600のアドレスをフラグ付けした。コンプライアンス対応プラットフォームへの入金は監視の対象となるリスクが増している。 別件として、分析担当者は64BTCがミキサー関連のトランザクションへ流入した動きを追跡した。約10BTCは即座にミックスされ、残る約54BTCはお釣りとして戻ったうえで、約7BTCずつの出力に分割され、追加のミキシングに向かった。ミキサーは取引の出自を分かりにくくする目的で入出金を組み替えるが、匿名性を保証するものではない。今回は出力額が比較的大きく均一であるため、資金洗浄のパターンがかえって追いやすく、捜査側は移転の連鎖を継続監視できる。 このミキサー利用は、1,159BTCを保有する7アドレスのクラスターとは結び付いていないようだ。先行報道では、同じCOLDCARDのシード生成不具合が複数の攻撃者に悪用された可能性が示されており、あるクラスターの動きが別の主体によるものと同一視できない。 Galaxy Researchは以前、約7,300アドレスから3つの攻撃波で合計約1,596BTCが盗まれたことを確認し、さらに14件の小規模な関連事案を特定した。第4波が疑われ、総額が約2,055BTC近くまで増える可能性があるものの、この上乗せ分は被害申告との突合が完了しておらず、全面的には検証されていない。 問題の根は、シードフレーズ生成時の乱数を弱めてしまうファームウェアのバグにあった。攻撃者はオフラインで候補シードを再現し、そこからアドレスを導出してオンチェーン上の実在アドレスと照合できた。デバイスへの物理アクセスやPINは不要で、プロトコル自体の侵害も伴わない。Coinkiteは修正版ファームウェアを公開したが、脆弱なバージョンで作成されたシードは、端末をアップデートしても安全にはならない。影響を受けたユーザーは新しいシードを生成し、そこから派生するアドレスへ資金を移す必要がある。 Galaxyは、確認済みの攻撃者・被害者アドレスを米国の法執行機関、取引所、サイバー調査組織と共有した。関連アドレスの網が広がることで、規制された経路に資金が乗ろうとする動きの検知可能性は高まる。一方で回収の見通しは不透明だ。攻撃者は複数アドレスへの分散、ミキサー、分散型プラットフォーム、米国の管轄外の法域などを経由してから換金を試みる余地がある。 最大規模のCOLDCARD関連攻撃者が保持する1,159BTCは、初回の一括移転以降動きがなく、継続的な公開監視にさらされている。別の主体によるミキサー経由の移動は追跡可能な足跡を生み、今後の展開で捜査当局が注視することになりそうだ。