人気の暗号資産（仮想通貨）ハードウェアウォレット「コールドカード」に、5年前のファームウェアの欠陥が見つかり、ビットコインが相次いで盗み出されました。調査会社ギャラクシー・リサーチによると、被害は1,367ビットコイン（約8,860万ドル、日本円で約130億円相当）に達しています。オフラインで安全とされてきた「コールドウォレット」の弱点を突いた攻撃として、暗号資産業界に衝撃を与えています。
41分で1,196アドレスから流出
攻撃は7月30日、わずか41分間で1,196個のビットコインアドレスから資金を抜き取る形で始まりました。この最初の波だけで、1,082.65ビットコイン（当時の価格で約7,020万ドル）が奪われています。ギャラクシー・リサーチが取引の流れを解析し、カナダのコインカイト社が製造するビットコイン専用ウォレット「コールドカード」のファームウェアの欠陥と結び付けました。
原因は5年前の乱数生成の不具合
問題の原因は、2021年3月に組み込まれたファームウェアの不具合です。本来は端末に搭載された専用のハードウェア乱数生成器を使うべきところ、予測可能なソフトウェアの疑似乱数生成器で秘密鍵（シードフレーズ）を作ってしまう設定になっていました。ソフトウェア開発大手ブロック社の分析によると、攻撃者は端末の識別情報や起動時刻などを絞り込むことで、端末に触れることなく秘密鍵の候補を再現できたとされます。
更新しても既存の鍵は直らない
コインカイト社は7月31日、影響を受けるすべてのモデル向けに緊急のファームウェアを配布しました。ただし、更新しても既存の秘密鍵は修復されません。同社は、脆弱な状態で作られた秘密鍵を持つ利用者に対し、修正済みファームウェアで新しい鍵を作り、資金を移すよう呼びかけています。古い鍵を使い続けると危険性が引き継がれてしまうためです。
その後の調査で、被害はさらに拡大していることが判明しました。ギャラクシー・リサーチは新たに2つの攻撃の波を特定し、盗難の疑いがある被害は合計1,367.05ビットコイン（約8,860万ドル）、4,585のアドレスに及ぶと推定しています。同社は攻撃者が管理するとみられる約600のアドレスを、連邦捜査当局やセキュリティ調査会社に報告したと明らかにしました。攻撃は現在も続いているとみられます。
日本への影響
今回の事件は、暗号資産投資が広がる日本の利用者にとっても重要な警鐘です。日本では金融庁の登録を受けた交換業者を通じてビットコインを保有する人が多く、資産を自身で管理する「自己保管（セルフカストディ）」の手段としてハードウェアウォレットを使う個人投資家も増えています。安全とされてきた製品でも、ファームウェアの欠陥という予期せぬ弱点が生じうることを、今回の事件は突き付けています。コールドカードを使っている場合は、直ちに最新ファームウェアへ更新し、必要に応じて新しい秘密鍵へ資産を移すことが求められます。
さらに、この混乱に便乗した二次被害にも警戒が必要です。海外では、コールドカードの欠陥に関する不安をあおり、偽の対策ソフトを導入させようとするフィッシング（詐欺目的の偽装）の手口も報告されています。日本の利用者も、公式サイト以外のリンクや不審なメールには安易に従わず、情報の出どころを慎重に確かめる姿勢が欠かせません。暗号資産は自己責任の世界だからこそ、日ごろのセキュリティ対策が資産を守る最後の砦になります。
まとめ：オフラインでも100%安全とは限らないと、今回の事件は教えてくれます。お使いの機器の更新状況を今すぐ確認し、大切な資産を守っていきましょう。
出典:
The Hacker News – Coldcard Hardware Wallet Flaw Linked to $70 Million Bitcoin Theft in 41 Minutes
Bloomberg – Coldcard Bitcoin Wallets Compromised as Hackers Exploit Software Flaw
CoinDesk – Bitcoin cold-wallet attack spreads to 4,500 addresses as losses near $89 million
Photo: Shubham Dhage / Unsplash
