Galaxy、ColdcardのRNG不具合で被害は少なくとも1,596BTC　第4波確認なら約2,055BTC（約1.3億ドル）に拡大も

Galaxy Researchは、ハードウェアウォレット「Coldcard」の乱数生成（RNG）に関する不具合を突いた盗難により、利用者の損失がすでに少なくとも1,596BTCに達したと明らかにした。さらに、疑われている"第4波"の攻撃が同一の手口によるものと確認されれば、被害総額は約2,055BTC（約1.3億ドル）まで膨らむ可能性がある。 GalaxyはXへの投稿で、確認済みの3回の攻撃波と関連する小規模事案14件を通じ、約7,300のアドレスから合計1,596BTCが盗まれたと説明した。一方で、オンチェーン上の兆候はあるものの、被害者からの報告で裏付けが取れていない"第4波"については、現時点の確定集計には含めていない。仮にこの活動も同一の脆弱性悪用と断定されれば、損失は約2,055BTCに到達する見通しだという。 ■算出根拠 Galaxyはオンチェーンのマッピングにより、3回の確認済み攻撃波での1,596BTCを特定した。以前のブロックチェーンのみの広い読みでは、4回分の資金移動を約1,815.75BTCとしていたが、その後、確定分の推計を精緻化しつつ、未検証の第4波に紐づくより大きい数字も別枠で維持している。 同社アナリストは、過去の攻撃と似た取引パターンを検出したことから、8月3日に第4波の可能性を指摘。疑われる第4波の暫定推計は、709の潜在的被害アドレスから約448.7BTCとしている。もっとも、ブロックチェーン上の証拠だけでは、すべての被害者の確定や、盗難が単独の実行者によるものかの断定はできないと強調した。 Galaxyは、疑われる第4波のオンチェーン活動が"相当部分"で単一の攻撃者によって構成されている可能性が高いとして、中〜高程度の確度でそう見ている一方、最終判断は被害者側の直接確認を待つとしている。 ■脆弱性の内容 Coldcardを開発するCoinkiteは先週、この不具合を開示し、原因は2021年3月のファームウェア変更にあると説明した。新しい暗号ライブラリを統合する過程で、シード生成の経路が、デバイスのハードウェア由来の真の乱数生成器ではなく、MicroPythonが提供する決定論的な疑似乱数生成器へ誤ってフォールバックしていた。 ハードウェアRNG自体はファームウェア内の別箇所に残っていたため、エントロピー源の切り替わりが内部の簡易チェックでは見逃されたという。 ■第三者レビュー Blockのビットコイン関連エンジニアリング／セキュリティチームもファームウェアを独自に検証し、同様の結論に到達した。問題のあるファームウェアでは、シード作成にSTM32のハードウェアRNGではなく、MicroPythonの決定論的フォールバックが使われていたとしている。 Coinkiteは、影響を受けた端末の実効エントロピーは意図した水準を大きく下回ると推定。Mk2/Mk3の一部で約40ビット、脆弱なMk4/Mk5およびColdcard Qで約72ビットにとどまり、想定していた128ビットとは乖離があるとした。 ■攻撃の特徴と調査状況 Galaxyによると、盗まれた残高の多くは単一の"集金"ウォレットに集約されるのではなく、多数の新規アドレスに分散して送られた。さらに一部は2段階目の転送（second-hop）を経由し、追跡を難しくしている。 疑われる第4波では、攻撃活動がビットコインの1ブロックあたり約13.8件のウォレット"スイープ"へ急増し、それ以前の約0.3件／ブロックと比べて大きく跳ね上がったという。 盗難分BTCのおよそ90%はオンチェーン上で未使用のままで、確認済みの最初の3回の攻撃波で奪われたコインは、盗難後に一度も動いていない。Galaxyはこの状況が、捜査側に監視・対応の時間的余裕を与えているとみている。 同社は米国の連邦法執行機関、暗号資産取引所、サイバー調査機関と連携し、調査の進展に合わせて確認済みの攻撃者・被害者アドレスを共有している。影響を受けるウォレットが使われ続ける限り、別の攻撃者が同じ脆弱性を狙う恐れがあるとして、攻撃者管理アドレスの特定が重要だと警告。資金が動き出した場合に取引所や当局が対応できるよう備える必要があるとした。 ■利用者への推奨対応 GalaxyとCoinkiteは、脆弱なファームウェアで作成されたウォレットから資金を移し、修正版ファームウェア適用後に新しいシードフレーズを生成して安全なアドレスへ移行するよう促している。 Coinkiteは影響を受ける全モデル向けに緊急アップデートを提供済みで、例としてMk2/Mk3はv4.2.0、Mk4/Mk5はv5.6.0、Coldcard Qはv1.5.0Qを挙げた。脆弱なファームウェアを含む在庫は破棄したとしている。 ■重要な注意点（Coinkite） アップデートで保護されるのは修正後に新規作成するウォレットのみで、脆弱なファームウェア下で生成された既存シードは引き続き危険にさらされる。Coinkiteは、パッチ適用済みデバイスで完全に新しいシードを生成し、受取アドレスを確認したうえで少額のテスト送金を行い、成功後に全残高を移す手順を推奨している。 少なくとも"50回の公正なサイコロの出目"によって作成した秘密情報を使うウォレットは、このRNG問題だけでは脆弱ではなく、強固なBIP39パスフレーズも追加の防御になる。ただしCoinkiteは、元のシード素材が弱い状態で残るため移行を推奨するとした。 ■回復に関する補足 Galaxyは以前、盗難トランザクションが未承認の段階であれば、ビットコインのReplace-by-Fee（RBF）で置き換えを試みられる余地があると指摘していた。ただしこの手段は元のトランザクションが採掘される前に限られ、回復を保証するものではない。 ■まとめ 今回の事案は、ファームウェアレベルのミスがハードウェアウォレットの安全性を根底から損なうことを示した。Coldcardを保有する利用者はファームウェアを確認し、脆弱なバージョンで生成したシードは侵害された前提で対応すべきだ。Coinkiteの修正適用と移行チェックリストに沿って資金を移し、Galaxyが進めるアドレス追跡と法執行機関連携により、追加被害の抑制と実態解明が進むかが注目される。